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Editorial 


Hace muchos años la enseñanza del inglés se realizaba de un 
modo muy aburrido. Se hacía mucho hincapié en la gramática y las 
estructuras. 


Eso se modificó, hubo un cambio drástico, cambiando a una enseñanza 
basada en ejemplos cotidianos, divertidos. 


Con los libros de seguridad informática de hoy sucede algo parecido. Son 
en general libros áridos. Pueden ser muy buenos, pero su lectura resulta, 
en general, “aburrida”. 


Existe un segundo ingrediente y es que en general están tan llenos de 
información que uno pierde el panorama general, al menos que se 
disponga del tiempo para recorrer todo el libro. 


En "Ethical Hacking” Volumen 1 y 2, que tendrá en sus manos junto a las 
próximas 2 ediciones especiales de "NEX IT Specialist”, Ud. encontrará 
una propuesta diferente: 


1, el contenido se ha resumido a lo esencial en la búsqueda de "the big 
picture", De este modo quién coleccione estos 2 volúmenes tendrá un 
excelente libro de seguridad informática 


2. el contenido lo hemos dividido en 4 secciones: Fundamentos de 
Seguridad informática, Ethical Hacking Paso a Paso, Seguridad Wireless 
y Herramientas. De este modo en "Fundamentos de Seguridad", 
aprendemos lo básico, la teoría. En "Herramientas”, destacamos aquellas 
que no puede dejar de conocer un experto en IT. "Ethical Hacking Paso a 
Paso" nos muestra a nuestro enemigo, sus tácticas y cómo las aplica al 
momento de intentar comprometer nuestras redes. "Seguridad Wireless" 
es tan novedoso que necesariamente aparece en una sección separada. 


Quienes hayan tenido contacto con NEX IT Specialist anteriormente 
encontrarán que algunos artículos ya aparecieron. La idea fue estructurar 
un libro coherente en los 2 volúmenes y para ello fue inevitable repetir 
algo del material. 


Si a algún lector NO le interesara la Seguridad Informática (aunque lo 
dudamos) o desea aprender sobre algo distinto, al comienzo de esta 
edición encontrará 4 artículos de interés más general: "Moodle" (sinónimo 
de e-learning), "Weblogs y Syndication", el "buzz word" (palabras de 
moda) del mundo Web y un artículo sobre Ututo-e. 


Finalmente inauguramos una nueva sección "Gente e Historia en IT”. En 
esta oportunidad, brevemente introducimos a Andrew S. Tanenbaum y 
MINIX. Estamos seguros que les resultará de mucho interés.Este y 
varios artículos complementarios los encontrará en nuestros sitio web 
exclusivo para suscriptores. 


Un último comentario sobre el título "Ethical Hacking": indistintamente 
podriamos haberlo llamado "Seguridad Informática" o "Las Mejores 
Herramientas del Experto en Seguridad Informática". 
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Weblogs y Syndication 
Pag 8. 


El número de weblogs que existen actualmente es inmenso (entre 2 y 
4 millones) y en muchos se hacen varias publicaciones diarias. 


Seguir las actualizaciones se ha hecho cada vez mas complicado. 


Además, periódicos y revistas también modifican su contenido con asi- 
duidad. 


La aparición de syndications (en cualquiera de los 2 formatos RSS o 
Atom) ha simplificado la labor de los lectores, ya que automáticamente 
les es reportado si se producen modificaciones. 
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ARGENTINA 


Ethical Hacking Volumen 1 
Pag 15. 


En Ethical Hacking Vol 1 y 2 presentamos una serie de artículos que conforman 
un verdadero libro sobre la seguridad informática con una propuesta diferente. 


El contenido lo hemos dividido en 4 secciones: 


Fundamentos de Seguridad Informática 


Ethical Hacking Paso a Paso 
Seguridad Wireless 
Herramientas. 


En esta edición le presentamos el Volumen 1. 


Fundamentos de Seguridad Informática. 
Pag 16. 


Aquí aprendemos lo básico, la teoría. Está compues- 
to de una serie de artí- 
NAAA culos que irán barrien- 
coruna do las diferentes temá- 
ticas sobre las que se 
basa la seguridad in- 
formática: Introducción 
a la Arquitectura 
Cliente-servidor, 
Entendiendo TCP/IP, 
"Elementos Basicos de 
Criptografía", 
"¿Algoritmos de Hash 
Seguros? y "Pass 
Phrases vs Passwords 
(parte 1 de 3)". 


CaFeLUG 


Los días 12 y 13 de Noviembre, se llevó a cabo en Bs. As. la "3ra 
Conferencia Abierta de GNU/Linux y Software Libre". Concurrieron aproxima- 
damente 1300 personas (de 1800 registradas previamente). Se dictaron 61 
conferencias / talleres con 7 salas en simultáneo, durante los 2 días. 
Participaron 42 disertantes e importantes miembros de la Comunidad de 


Software Libre local y de países vecinos. 


La repercusión obtenida garantiza la repetición de este evento el año siguiente. 
Dentro de los asistentes a la conferencia se contó con participantes de 


México, Uruguay, Chile y Bolivia. 
Las siguientes entidades auspiciaron el evento: 


UADE (Universidad Argentina de la Empresa) 


GLEDUCAR (Construcción Cooperativa de Conocimientos , Software Libre 


en Educación) 


LUGUM (Grupo de Usuarios de GNU/Linux , Universidad de La Matanza) 
LANUX (Grupo de Usuarios GNU/Linux , ciudad de Lanús) 


Medios Gráficos : 


Revista Nex IT Specialist (Argentina) 
Revista Users Linux (Argentina) 


USUARIA (Asociación Argentina de Usuarios de Informática y Comunicaciones) 10d 0 y! 
ZA 


Ethical Hacking Paso a Paso 
Pag 30. 


Nos muestra a nuestro enemigo, sus tácticas y 
cómo las aplica al 

ATAR » momento de intentar 
comprometer nuestras 
redes: "Introducción", 
"Footprinting", 
"Scanning" 
"Enumeración" 
Hacking Windows NT, 
W2K y W2003 (parte 
1)" y "Alguien ha hac- 
keado sistema opera- 
tivo Windows, 


¿Ahora Qué?" 


netizen<s<> 


0D 


WaveNet 


Sabemos más! 


A Seguridad 
Wireless Pag 52. 


Es tan novedoso que 
necesariamente 
aparece en una 
sección separada: 
abarca 3 artículos: 
"Seguridad Wireless", 
"Wireless Hacking" y 
"802.11Seguridad". 


TOOLS (herramientas) 
Pag 64. 


Describiremos las mejores herramientas de la se- 

guridad informática: "NMAP y las 75 Mejores 
Herramientas de 
Seguridad 
Informática", "SNORT 
el NIDS (Network in- 
trusión Detection 
System) bajo 
Windows", "Snort para 
Linux", NESSUS: el 
scanner de vulnerabili- 
dades OPen Source" 
y "KNOPPIX y 
Distribuciones 
Especializadas en 
Seguridad bajo 
Linux.". 


Revista Clarín Informática (Argentina) 


Empresas: 


2 LIA 
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Revista Mundo Linux (España) 
Dominio Digital (Argentina) 


Cor-Technologies , Xtech, Pixart , Open Computacion 


Grupos de usuarios y organizaciones : 
GrULIC, LANUX, LUGFI, LUGLi, LUGRo, RetroNet, SoLAr, UYLUG, Via Libre. 


MOODLE 


La herramienta Open-Source para la administración de la enseñanza. 


www.moodle.org 


Existe una enorme demanda para la edu- 
cación a distancia. Esta necesidad se basa 
en factores especiales de la vida cotidiana 
en donde se mezclan responsabilidades 
laborales y compromisos familiares. 


La competitividad del mercado laboral 
lleva a la necesidad de un mayor entre- 
namiento como herramienta para acceder 
a un mejor empleo. Se hace imprescindible 
por ello contar con un fácil acceso a la edu- 
cación y perfeccionamiento. 


Una herramienta para la administración de 
enseñanza (en inglés se dice learning 
management system o LMS) es un sistema 
de software que da las herramientas nece- 
sarias para proveer educación on-line. 


Es decir, utilizando computadoras en red 
ya sean en “intranets” o accediendo a 
“Internet”. Se utilizan principalmente en u- 
niversidades, escuelas, instituciones de 
entrenamiento y empresas con el propósi- 
to de acercar conocimientos. 

Las herramientas para ————= 

la administración de *:*> 
enseñanza hacen uso lamo.com 
extenso de la red in- 
cluyendo foros de dis- PB 
cusión, chats, informa- 
ción en revistas de 
estudio (journals), sis- 
temas de evaluación 
automatizados,  her- 
ramientas de nivelación 
y seguimiento de los alumnos . Pueden 
emplearse también para enriquecer la en- 
señanza tradicional. 


o A a a e do 


Los costos de educar on-line han sido 
siempre altos. Existen soluciones de soft- 
ware propietario de mucho prestigio como 
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¿Por qúe se llama MOODLE? 


La palabra MOODLE, originalmente fue 
un anacronismo para Modular Object- 
Oriented Dynamic Learning 
Es también un verbo 


Environment... 
que describe el proceso de abordar algo 
en forma desganada, haciendo cosas a 
medida que se nos ocurra, una manera 
de moldear disfrutando y que muchas 
veces condice a profundizar y crear. 


el Blackboard y webCT. 


El elevado costo de las soluciones propie- 
tarias unido a la necesidad de poder modi- 
ficar el software con el propósito de 
atender necesidades específicas de en- 
señanza y aprendizaje, hacen que sea 
necesario considerar con qué más se 
puede contar. 


Existen varias herramientas open source. 
En este 


artículo presentaremos a 
MOODLE que reúne 
muchos de los requerim- 
| ¡entos necesarios. 
Además, es una her- 
ramienta open source 
popular. 


MOODLE comenzó en 

Australia en 1999 por el 

entonces estudiante de 

sn. doctorado en Educación , 

Martin Dougaimas . Había 

sido formado en ciencias computacionales 

y no le satisfacian completamente las alter- 
nativas propietarias. 


Moodle, desde entonces, se desarrolló 
muy velozmente con el empuje de su 
creador y gracias a una gran comunidad 
de usuarios y desarrolladores. 


Un sitio Web bajo MOODLE puede admi- 
nistrar un gran número de cursos. Además 
existen gran variedad de posibilidades : los 
cursos por ejemplo pueden estar dirigidos 
por uno o varios maestros, se pueden re- 
alizar actividades múltiples como asigna- 
ciones, chats, seminarios, foros de dis- 
cusión, revistas de estudio y planteamien- 
to de problemática a resolver. Aporta 
también la posibilidad de asignar puntajes, 


el logging and tracking del usuario, el 
empleo de multimedios, integración de 
mails, entre otras posibilidades que lo 
hacen similar a las herramientas pro- 
pietarias. 


MOODLE se desarrolla sobre la plataforma 
LAMP, GNU/LINUX, APACHE, MySQL y 
PHP. Una característica muy interesante 
es que puede usarse sobre cualquier servi- 
dor que pueda correr PHP. Además puede 
emplearse PostgreSQL en vez de MySQL. 
Puede usarse incluso en servidores de 
hosteadores de sitios web. MOODLE se 
ofrece bajo la GPL de GNU (Licencia 


Pública General). 


Es muy fácil utilizar MOODLE e integrarlo 
con otros programas Open Source. Lo 
único que requiere el “alumno” es tener un 
browser (IE, Mozilla, Firefox...) y una 
conexión a Internet. 


La gran mayoría de los LMS están centra- 
dos en el instructor y en cómo se desarro- 
llan los contenidos de la clase. 


Una particularidad interesante de 
MOODLE es que está basado en una 
filosofía orientada hacia el aprendizaje 
llamada pedagogía construccionista social. 


¿Qué es LAMP? 


Resume a Linux, Apache, MySQL y 
PHP. Es una plataforma open-source 
para desarrollo Web. Utiliza Linux como 
sistema operativo, Apache como servi- 
dor Web, MySQL como base de datos y 


PHP como lenguaje de scripting tipo 
object-oriented. Perl o Python susti- 
tuyen muchas veces a PHP. LAMP se 
ha transformado en un estándar de de- 
sarrollo de facto. 


Vea el sitio web de  O“Reilly: 
www.onlamp.com » 


En ella los estudiantes se involucran en su 
propio conocimiento. 

El concepto de esta filosofía de apren- 
dizaje es que los maestros construyen 
activamente nueva sabiduría, apren- 
diendo más y mejor al explicar el 
conocimiento a otros. Además adquieren 
así una perspectiva más subjetiva del 
conocimiento que han creado. 


Este ideal corre en forma paralela a la 
forma en la que se han desarrollado los 
trabajos Open Source. 

Los desarrolladores son también usua- 
rios. Cada uno se encuentra libre para 
hacer su aporte al software y el código 
se va construyendo desde múltiples 
puntos de vista y se redefine a través de 


Las metas del proyecto 
MOODLE. 


Estas se encuentran descriptas en el 
Moodle Developers Manual (Manual de 
Desarrolladores): 

-Fácil de instalar, aprender y modificar. 


-Corre en múltiples plataformas. 


-Fácil de ascender de una versión a la 
siguiente. 


-Permite la utilización en conjunto con 
otros sistemas. 


-Al ser modular permite el crecimiento. 


una discusión abierta. 


Esta filosofía es la base del nombre es- 
pecial del proyecto. 


El sitio de la red MOODLE explica el 
origen del nombre siendo un acrónimo 
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para un ambiente de enseñanza en 
módulos, dinámico y orientado hacia el 


objeto (en inglés Modular Object -— 
Orientated Dinamic Learning 
Environment) 


El tipo de pedagogía está reflejado en el 
diseño y elección de las características 
de MOODLE. Por ejemplo en cada curso 
hay un glosario de terminología. En el 
glosario los participantes del curso 
pueden agregar sus propios términos y 
definiciones. 


Sinónimos de LMS 
>> entorno educativo administrado 
>> entorno de educación virtual 


>> sistema de administración de cursos 


>> sistema de soporte educativo 
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Además por ejemplo MOODLE permite 
que se adjunten comentarios de cada 
término permitiendo a los participantes 
redefinir y aclarar esas definiciones. 


MOODLE es muy popular, se usa en 
cientos de países y muchos idiomas. 
Logra reunir características especiales 
que lo hacen apto para la cada día 
mayor demanda de educación a distan- 
cia. 

A pesar de evolucionar rápidamente 
MOODLE se ha mantenido fiel a sus ob- 
jetivos. Su última implementación es un 
calendario integrado. 


Uno de sus aspectos más criticados es 
que se trata de un software únicamente 
para expertos en tecnología informática, 
ya que es dificultoso de instalar y utilizar 
para usuarios básicos. 


Una encuesta realizada entre usuarios 
de MOODLE identificó que 66% de ellos 
se trataba de maestros, investigadores 
de e-learning o administradores educa- 
cionales. 


Un producto LMS puede ser complejo. 
MOODLE simplifica muchas de las 
tareas. Pero, quizás lo mas rico es la co- 
munidad que ha crecido alrededor de él. 
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Weblogs y Syndication 


Uno puede suscribirse en este servicio de syndication en las páginas web y recibir 
alertas cuando han cambiado los contenidos. Se dice (en la jerga) que la página web 
produce un “feed” (alimentación) ante un cambio. 


Por Núria Prats i Pujol 


Apareció el WWW...(World Wide Web, 
1990) 

Hace unos años personas como (Sir)Tim 
Berners-Lee (el creador del HTTP, ver 
artículo en esta edición: “Gente e historia 
en IT”) mantenían páginas web con listas 
que promocionaban las nuevas e incluían 
pequeñas descripciones de las mismas. 
Sin embargo rápidamente estas “guías de 
páginas webs” se hicieron imposibles de 
mantener ya que diariamente se creaban 
miles nuevas. 


Aparecieron los buscadores... (Yahoo, 
1994, Google, 1998...(ver artículo en esta 
edición: “Gente e historia en IT”). 
Normalmente uno realizaba una búsque- 
da. Encontrado algún sitio web de interés 
se lo incorporaba como “favorito o book- 
mark” en el web browser ( |E, Netscape, 
Mozilla (Firefox aún no existía)...). 

Pero, muchas páginas web se modifican 
con bastante frecuencia. Especialmente la 
de periódicos, sitios de noticias, revistas y 
otras. 


Entonces uno hacía una especie de “syndi- 
cation” (ver nota adjunta) manualmente. 
¿Qué es esto? Luego de tener marcada la 
página web como favorito uno la accede 
diariamente y a veces más veces al día de 
modo de ver si hay cambios (novedades). 


Aparecieron los weblogs... (páginas web, 
personales con comentarios y links, actua- 
lizadas sin ninguna sistemática o frecuen- 
cia). (leer sobre la historia de weblogs en: 
http://www.rebeccablood.net/essays/weblo 
9_history.html 


El mercado de la información actualizada 
como noticias de comercio, portales de 
periódicos y weblogs fue creciendo rápida- 
mente. 


El interés de poseer la información más ac- 
tualizada se convirtió en un una necesidad 
y en un gusto. ¿Quién no ha renovado 
varias veces en un día ciertas páginas 
webs con la intención de ver si habían sido 
modificadas? 

Syndication y weblogs son palabras que 
van de la mano. Introduciremos breve- 
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mente el concepto de weblog para profun- 
dizar luego en el sentido de syndication. 
Finalmente analizaremos la situación 
actual del tema. 


Weblogs 


Alrededor de 1997 comenzaron a aparecer 
diarios personales como páginas webs. En 
estos se publicaban noticias y resúmenes 
sobre diferentes temas que el autor consi- 
deraba relevante aportando además links 
de utilidad ligados a la temática discutida. 
Pero la forma de realizar y mantener la 
página era muy complicada. Se debía pro- 
gramar en html el formato de la página y 
cada vez que se quería introducir una 
modificación a la misma se debía crear un 
nuevo documento y ftp-earlo al servidor. 
Luego surgió la necesidad por parte de los 
lectores de interactuar con los editores de 
los weblogs. Comenzaron mediante con- 
sultas y respuestas por e-mail. Un modo 
muy complicado, especialmente si el 
editor-autor debía además refrescar la 
página con los comentarios de sus “lec- 
tores”. 


Como respuesta a estas necesidades 
surgieron diferentes aplicaciones que per- 
mitían crear páginas web con formatos es- 
peciales para estas publicaciones perso- 
nales. La forma de introducir las modifica- 
ciones era ahora muy sencilla y los lec- 
tores podían en forma simple hacer sus co- 
mentarios. Estas páginas especiales son 
los weblogs o blogs que es su diminutivo. 


Las notas, artículos o noticias que el 
blogger (así se llama en la jerga al admin- 
istrador-editor o autor del blog) desea pub- 
licar, se introducen rellenando una casilla 
como la que brindan actualmente los servi- 
dores de web-mail, señalando el tema o 
título (esto se llama un post o entry 
(entrada)). 


Una característica esencial es que las dis- 


Nota: RDF 


tintas publicaciones posteadas en “los 
nuevos diarios personales” aparecen 
cronológicamente con fecha y hora y se 
pueden renovar, gracias a la simplicidad, 
varias veces al día. ¡La novedad es que se 
logra también la interacción con los lec- 
tores! Uno puede publicar comentarios o 
consultas debajo del artículo del blogger. 

El número de weblogs que existen actual- 
mente es inmenso (entre 2 y 4 millones) y 
en muchos se hacen varias publicaciones 
diarias. Si uno está acostumbrado a seguir 
algún weblog es muy probable que le in- 
terese también seguir el de alguna otra 
persona relacionada con este. Seguir las 
actualizaciones de diferentes weblogs se 
ha hecho cada vez mas complicado. 
Recordemos que además periódicos y re- 
vistas también modifican su contenido con 
asiduidad. La aparición de syndications (en 
cualquiera de los 2 formatos RSS o Atom) 
ha simplificado la labor de los lectores, ya 
que automáticamente les es reportado si 
se producen modificaciones en los 
weblogs que le interesen. Por ello, weblogs 
y syndication van siempre de la mano. O 
eso es al menos lo que los bloggers dicen. 


Syndication 


Dijimos anteriormente que uno podría 
hacer algo similar a syndication manual- 
mente. En la actualidad esto está automa- 
tizado. De hecho es un servicio que 
ofrecen muchas páginas webs (especial- 
mente de noticias) y weblogs. 


Uno puede suscribirse a este servicio en 
las páginas web y recibir alertas cuando 
han cambiado los contenidos. Se dice (en 
la jerga) que el weblog produce un “feed” 
(alimentación) ante un cambio. 


Los beneficios son varios ya que el alerta 
hará que uno sólo tenga que actualizar 
páginas únicamente cuando ha sido reno- 
vado su contenido y le sea de interés verla. 
Es que en la mayoría de alertas aparecen 


Proviene de Resource Development Framework y es un recurso standard de desarro- 


llos de syndication que utiliza XML. Es parte de W3C (World Wide Web Consortium) que 
guía los desarrollos de la web en el plano legal, social y comercial e intenta hacer la web 


accesible a todos los usuarios. [6] 


»> 


lex 


los títulos y un breve extracto de los temas 
renovados. Así uno podrá seguir alguna 
noticia que se está desarrollando momento 
a momento, los resultados de un partido de 
football, el valor de ciertas acciones, o las 
novedades que ha publicado el blogger 
que uno sigue. 


RSS 1.0 desarrollado por un grupo de 
O'Reilly  (www.oreilly.com) (no es un 
upgrade de la versión de Dave Winer como 
se puede llegar a pensar, sino que tiene un 
formato original). RSS 1.0 usa RDF (ver 
nota) producido por el W3C( World Web 
Consortium). 


Entendiendo qué es “Syndication” 


En el mundo de los periódicos o diarios un “syndicate” distribuye información a los 
suscriptores (en este caso revistas o diarios), permitiendo que cada publicación use (si 
lo desea) los contenidos de la información que recibió. Tiras cómicas, noticias y colum- 
nas de opinión son distribuídas por “syndicates” dando más exposición a los autores y 
más contenido a los lectores. Desde hace pocos años, los desarrolladores de páginas 
web comenzaron a usar el término “syndicate” como verbo o sustantivo. 


RSS son las siglas de Real Simple 
Syndication que es el formato más conoci- 
do sobre el que se programa la automati- 
zación de este servicio.”To Syndicate” sig- 
nifica exactamente distribuir y creo que 
queda clara su utilidad. 


Pero existe otra cara de esto que es que a 
las compañías de noticias les resuelve en 
parte los problemas de tráfico que ralenti- 
zan sus páginas cuando hay un acceso 
masivo a las mismas. A su vez, promocio- 
nan su compañía o weblog ¡directamente 
al público que lo desea! 

Pero el potencial ha aumentado ya que 
hoy en día hay programas llamados aggre- 
gators de noticias que absorben los 
archivos RSS o Atom ( feeds) y presentan 
las novedades organizadas en diferentes 
formatos. Estos programas permiten 
seguir la actualización de varias páginas a 
la vez. Algunos ejemplos: Feedreader, 
Feeddemon o Bloglines. 


Historia de la evolución de RSS 


1999 un año clave: nace RSS 0.90. Fue 
lanzado por Netscape con intención de ser 
un programa que facilitara el intercambio 
de datos entre páginas Web (de e-com- 
merce y noticias principalmente). De esta 
forma se podía inscribir un usuario creando 
su propio canal en My Netscape. Al ser 
renovada la información de las páginas se- 
leccionadas les seria automáticamente 
enviado a estos un resumen del cambio 
(un feed) [2]. 


Dave Winer, en ese entonces en la com- 
pañía UserLand Software, es quien intro- 
duce el Standard que finalmente evolu- 
ciona a la versión RSS 0.91 a la par que el 
grupo de Netscape desaparece. Así conti- 
núa la carrera de los RSS 0.9x. 


Como alternativa a RSS 0.91 aparece 


Los RSS 0.9x al día de hoy han evolu- 
cionado a la versión RSS 2.0. Dave Winer 
cedió sus derechos a la Universidad de 
Harvard. Este continúa participando del 
proyecto en el Berkman Center for Internet 
8 Society at Harvard Law School. RSS 2.0 


Diferencias entre Wikis y Weblogs. 


Atom es un intento de resolver muchos de 
los problemas asociados con RSS. Sus de- 
sarrolladores hicieron de la internaciona- 
lización una prioridad. De este modo Atom 
puede producir “Syndication Feeds” en 
cualquier idioma. También se buscó intro- 
ducir extensiones: que sea posible sumar 
funcionalidades sin tener que redefinir las 
especificaciones base de Atom. 

RSS se diseñó para resumir un Feed. Atom 
se creó con un propósito más general. Por 
ejemplo es posible usarlo en bibliotecas 
donde se podrán producir feeds de Atom 
de las últimas adquisiciones o máquinas 
en una fábrica producirán reportes sobre 
su estado en Atom. Programas tipo “agreg- 
gators” leerán los feeds mostrando los 
nuevos libros o que máquinas no funcio- 
nan correctamente (ver [4]) 


Estos objetivos diferentes han hecho que 
los dos proyectos vayan en paralelo y es 
muy difícil predecir cual será el futuro en 
syndication. Solo el uso y el tiempo mar- 
carán el camino. 


Wiki es un Sitio-Web hecho en colaboración. Se forma por el trabajo continuo de 
muchos autores. Es similar a un WEBLOG en estructura y lógica. Un wiki le permite a 
cualquiera editar, deletear o modificar los contenidos que han sido publicados en el 
Sitio-Web. Aún el trabajo de autores previos. Para esto utilizara una browser (IE, 
Mozilla,...). A diferencia, un Blog es tipicamente manejado por un autor y no se permite 
que otros lo modifiquen. Solo se podrán adicionar comentarios al contenido original. 


El término wiki se refiere indistintamente al Sitio-Web o al software que crea el sitio. 


“Wiki wiki” significa “rápido”(*quick”) en Hawaiano. El primer Wiki fue creado por Ward 
Cunnigham en 1995. 


posee una licencia "creative commons" 
que liberaliza los tan controversiales dere- 
chos del copyright.[1] 


Paralelamente a las dos familias de for- 
matos RSS (RSS 0.9x-RSS2.0 y RSS 1.0), 
aparece Atom. Este proyecto ha surgido 
por quejas que se realizaban a RSS y al 
hecho de que los derechos sobre código 
habían sido y eran de una única compañía. 
Atom es un open source software. [3] 


Syndication: RSS vs. Atom 


Hoy en día podríamos decir que existe una 
competencia entre dos tipos de syndica- 
tion: RSS y Atom. Quizás el estallido de 
esta rivalidad surgió cuando Google (uno 
de los portales mas visitados de la www) 
anunció que ofrecería solo Atom syndica- 
tion a sus usuarios bloggers. Algunos sitios 
que utilizan RSS son por ejemplo la BBC, 
CNN, Disney y Forbes entre otras.[5] 


Bibliografía: 


[1]http://blogs.law.harvard.edu/tech/rssVer 
sionHistory 
[2]http://www.internetnews.com/bus- 
news/article.php/3_80051 
[3]http://news.zdnet.com/2100-3513_22- 
5157662.html 
[4]http://www.xml.com/pub/a/2002/12/18/di 
ve-into-xml. html 
[5]http://www.webreference.com/author- 
ing/languages/xml/rss/intro/ 
[6]http://www.w3.org/Consortium/Hfgoals 


Para recomendar 


Rebeca Blood www.rebecablood.net 


Nota en PC Users +4163 pag60, 2004 por 
Jorge Gobbi. »> 
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Hacer nuestro BLOG es tan 


>>Lo más simple. fácil como hacet 1, 2, 3. 


El proceso es similar que con el webmail. Alguien me provee un “weblog server” que hosteará mi 
blog y una interfase gráfica donde editaré y postearé mi contenido. en www.blogger.com (su dueño actual es 
Ejemplos: www.blogger.com; blogs.ya (Pitas, Diaryland) Google Inc.) 


>>Si deseo una infrestructura más profesional. 

Puedo utilizar Word Press (VWWP) o Movible Type (MT). Aquí debo poseer un hosting propio que 
acepte Perl y CGl para MT o PHP y MySQL para VWP. El procedimiento es aún sencillo pero más| [Núria Prats i Pujol 
involucrado. Pero, da más funcionalidades mediante el uso de plug-ins. 


>> No estoy on-line Es consultora en programación web/base 


Creo todo mi blog sobre mi PC sin estar conectado a intemet (no estoy on-line). Luego lo subo (ftp-| [de datos. En la actualidad realiza su doc- 
eo) a mi web-site. torado en Física Teórica en la Universidad 


Ejemplos: http://hingamablog.sourceforge.net ; www.wbloggar.com de Barcelona, España. 


>>Tengo un servidor Apache y quiero usar aplicaciones del mundo open-source| [Se la puede contactar en: 


para hostear weblogs. E 
Instalo Blosxom o CORE (ver NEX IT Specialist +$10 pag 3) np abicomar 


110010011001011010010111000110011001100 1010010100400 [010000111011010101011444001100001011010111010104110100 


Switches 
Route 
Wirele: 

Placas de Vide 
Multimed 


EAGUGE! 


Informática 


Insun 105 
Conect 0 
po ; cas de Soni 
Me os Us: A SC: 
e Le Gabinete 
Notebooks Aúriculare 
Microfonc 
Discos Rioid: 


000 727 al 30 de Septiembre de 2005 
00 


EXPO COMM ARGENTINA 2005, 
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UTUTO-e: la primera distribución 
GNU/Linux argentina y 100% 


La evolución de UTUTO ha dado como resultado en nuestros días a UTUTO-e, una 
distribución GNU/Linux destinada exclusivamente al uso como escritorio, lista para ser 
instalada en el disco rígido y conformada únicamente por software libre 


Autor: Dr. Reinaldo Piz Diez 


Hacia fines del año 2000 el ingeniero 
Diego Saravia, de la Universidad 
Nacional de Salta, presentó en so- 
ciedad la primera distribución 
GNU/Linux argentina, UTUTO. Dos 
características permitían sobresalir a 
este producto. En primer lugar, un 
único CD contenía los paquetes nece- 
sarios para tener una distribución fun- 
cional, escritorio incluido, en poco 
tiempo. En segundo lugar, el CD era 
de modalidad liveCD, es 
decir instala la distribu- 
ción en memoria tempo- 
ralmente y sin afectar el 
o los sistemas operativos 
ya instalados en el disco 
rígido. 


a 


La evolución de UTUTO 
ha dado como resultado 
en nuestros días a 
UTUTO-e, una distribu- 
ción GNU/Linux destina- 
da exclusivamente al uso 
como escritorio, lista 
para ser instalada en el 
disco rígido y conformada 
únicamente por software 
libre, como no se cansan 
de enfatizar sus autores, 
Daniel Olivera y Pablo de 
Nápoli, integrantes junto a Saravia de 
SOLAR, Software Libre Argentina [1]. 


El proyecto UTUTO-e tiene en la actu- 
alidad su propia página web, 
https://e.ututo.org.ar/indexes.html. 
Desde ella es posible acceder a la 
página de descarga de la distribución. 
La primera sorpresa es que podemos 
elegir qué descargar en función del 
tipo de procesador de nuestra 
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Ú rpcacanes Accra Y PEA 


máquina. En particular, podemos 
elegir entre los tipos 486, lll y IV de 
procesadores Pentium y Athlon y 
Duron de la familia AMD. En el caso 
de procesadores Pentium es posible 
descargar la versión 686, válida para 
procesadores 486, lll y IV. Dado que 
las pruebas que se comentan en este 
artículo se realizaron sobre una PC 
con procesador Celeron de 1.8 Ghz, 
se descargó la versión 686 [2]. 


O FOLTES 


Al reiniciar la PC con el CD de la 
distribución, las primeras pantallas 
recuerdan mucho a las pantallas de 
inicio de la distribución GENTOO 
[3]. Luego de cargar una imagen del 
kernel 2.6.6 y reconocer automática- 
mente el hardware básico de la PC, 
se nos pide seleccionar el idioma a 
usar durante la instalación entre 
tres posibilidades: inglés, español y 
portugués. 


A 


Figura 1. El escritorio de Ututo 


El próximo paso es el Menú de 
Instalación en el cual nos encon- 
tramos con dos posibilidades: insta- 
lación automática O instalación 
manual. Elegimos la segunda opción. 
La primera operación es la partición 
del disco rígido para lo cual se utiliza 
cfdisk v2.12. Creamos sólo dos parti- 
ciones, la región swap en /dev/hdal, 
con un tamaño de 256 MB (la memoria 
de nuestra PC es de sólo 128 MB), y 
/dev/hda2 para /, con el 
resto del disco rígido y ca- 
pacidad de arranque. 
Optamos por escribir la 
tabla de particiones. 


EE] 


Soportado 


Luego de haber creado 
las particiones, se nos 
ofrece crear y / o configu- 
rar el gestor de arranque 
de la PC, para lo cual se 
muestra en pantalla el 
archivo lilo.conf. Dado 
que el mismo no presenta 
> opciones extrañas, lo sal- 
| vamos sin modificarlo. 


El siguiente paso es el 
formateo de las parti- 
ciones elegidas anterior- 
mente utilizando mke2fs. 
Inmediatamente después del forma- 
teo, se instalan en el disco rígido los 
archivos correspondientes al kernel y 
al sistema base. Posteriormente, se 
copian archivos del CD al disco rígido 
y comienza la instalación de los re- 
spectivos paquetes, 377 en total. 


Una vez finalizada la instalación de 
los paquetes, es posible seleccionar 
el tipo de teclado y el lenguaje, »> 


generar la clave para el administrador, 
escoger los servicios que se activarán 
durante el arranque, configurar el 
acceso a internet o una red interna 
con la posibilidad de activar samba si 


luego de ejecutar “startx” nos encon- 
tramos con un escritorio GNOME con 
un papel tapiz con la pequeña lagarti- 
ja que le presta su nombre al proyec- 
to, ver figura 1. Para mi sorpresa, la 
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reiniciar la 

máquina. Al hacerlo se nos permite 
elegir entre un kernel 2.4.25 y uno 
2.6.6. Al ingresar en la cuenta de ad- 
ministrador nos encontramos que por 
alguna razón la configuración au- 
tomática del entorno gráfico falló, 
razón por la cual ingresamos al 
sistema en modo consola. No ob- 
stante, UTUTO-e tiene un excelente 
menú de configuración post-insta- 
lación en /admin/menu. Desde allí 
configuramos manualmente el entorno 
gráfico para una tarjeta SIS650 y 


) 


Ú rpicacins Mec Y 15 > 


O HOILTEIE 
Figura 3. Cliente de Correo Sylpheed 


Figura 2. Planilla de cálculos Gnumeric 


tarjeta de sonido tipo Intel810, empo- 
trada en una placa madre no Intel, fue 
configurada automáticamente y con 
éxito por el sistema ALSA [4]. 


Veamos ahora una resumida lista de 
los programas y utilidades disponibles 
en UTUTO-e: 


Procesador de textos Abiword. 


Planilla de cálculos Gnumeric, ver 
figura 2. 


Cliente de 
Correo 
Sylpheed, 
ver figura 3. 


Navegador 
de Internet 
Firefox, ver 
figura 4. 


A A 


=l81x 


Suite Ofimática KOFFICE (Procesador 
de textos, Planilla de cálculos, gener- 
ador de presentaciones, gratificador 
de vectores, generador de reportes 
profesionales, generador de "charts", 
editor de formulas, generador de 
"flowcharting" estilo Visio), ver figura 
5. 


Grabador de CD y DVD K3B, ver 
figura 6. 


Reproductor de CD. 

Reproductor de archivos de música. 
Sistema de impresión CUPS. 
Sistema de Sonido ALSA. 


Manejo de protocolos de comuni- 
cación de Windows (SAMBA). 


Sistema de administración remota me- 
diante WEBMIN. 


Sistema de reconocimiento automáti- 
co de hardware. 


Sistema de "hotpluging" para disposi- 
tivos PCI y USB. 


Configuración automática del servidor 
gráfico X. 


Soporte de protocolos de Internet IPv4 
e IPv6 integrados en todas sus aplica- 


ciones. 


Kernel con soporte SMP hasta 8 
procesadores. 


Firewall basado en ¡iptables y ncurses 
FIREWALL-JAY. 


Reproductor multimedia MPLAYER. 


MPLAYER "plug in" integrado en el 
navegador de Internet. 


Paquete para edición y manejos de 
gráficos GIMP 2.0. 


Sistema de edición de diagramas DIA. 
Sistema de acceso telefónico a redes PPP. 


Manejador de conexiones ppp 


» 
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Figura 5. Suite Ofimática KOFFICE. 
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WVDIAL. 
Manejador de tablas de particiones QTPARTED. 


Manejador 
Gentoo. 


de paquetes fuentes Portage de 


Se desprende claramente de esta lista que se 
dispone prácticamente de todas las herramientas 
necesarias para desarrollar tareas de escritorio u 
oficina, aunque el entorno se adapta perfecta- 
mente también a los requerimientos de un progra- 
mador. Dado que los paquetes han sido optimiza- 
dos para cada arquitectura, el rendimiento es el 
óptimo aunque no debemos olvidar que los en- 
tornos gráficos, aun en Linux, consumen aprecia- 
bles recursos de memoria. 


Es importante dejar en claro que la ausencia de 
algunos paquetes muy conocidos, como el suite de 
oficina OpenOffice, no implica que no puedan uti- 
lizarse. Simplemente, su política de distribución no 
es compatible con la filosofía de los desarrol- 
ladores de UTUTO-e y por lo tanto el paquete no 
es incluido en el CD. El usuario final es libre, no 
obstante, de descargarlo e instalarlo. 


Para finalizar este artículo, digamos que UTUTO-e, 
la primera distribución GNU/Linux argentina y con- 
formada totalmente por software absolutamente 
gratis, es un producto de excelente calidad, sin 
nada que envidiar a distribuciones con más tiempo 
en el mundo del Linux. Además, la distribución 
completa esta contenida en un único CD, a diferen- 
cia de otras distribuciones “tradicionales”. 
Finalmente, UTUTO-e tiene el orgullo de ser una de 
las pocas distribuciones recomendadas por la Free 
Software Foundation como Free Operating System 
[5]. Por todo esto, UTUTO-e merece ser considera- 
do por los “linuxeros” argentinos como una fuerte 
opción para una configuración de escritorio. 


Referencias y links de interés 

[1] http://www.solar.org.ar. 

[2] Las pruebas que se comentan fueron efectu- 
adas con la versión 1.1 de UTUTO-e. Al momento 
de escribir este artículo se encuentra disponible la 
versión 1.2. 

[3] http://www.gentoo.org. 


[4] http://www.alsa-project.org/. 


[5] Ver http://www.fsf.org/links 
llinks.htmifFreeGNULinuxDistributions. 
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A eS 1. FUNDAMENTOS DE SEGURIDAD INFORMATICA 


Function someguotes()1 
//Creáte an array 


var quotes=new ArrayO A. Introducción a la arquitectura Cliente Servidor 
quotes[0]="H1* B. Entendiendo TCP/IP 
quotes[1]='Always paraise dafzdz' C. 1 Elementos de Criptografía 
3]="1f (Exi k 41 
ocatea: A alarde de C. 2 ¿Algoritmos de Hash seguros? 


coa LóTON dE de tt tara he co: Pass Phrases vs Passwords (Parte 1 de 3) 


quotes[5]='Some more quotes.'quotes[6]='Even <img src="imgsource/image.gif” border=0 alt="Display 
images randomly"> display 


tes[8]='Y 1so add 1 y 
quétas [ajo ltoria tine Te Ehdr YO can use 2 ETHICAL HACKING PASO A PASO 
var wnichquote=Math.floorí(Math.random()*(quotes.length));//which quote to display 


var fontstylestart='<font face="mS san Paso 0. Introducción 


var fontstyleend='</span></b></font>* Paso 1. Footprinting 
document .writeCfontstylestartequotes [ri chupa so terñning 
) .: . 
rad OS Paso 3. Enumeración 
Put e function in the head. 
//caW the function where you want quotes to 259.4, JJacking WINDOWS (Parte 1) 
Function mov_it() Paso 5. Alguien ha hackeado mi Sistema operativo 


ETHICAL HACKING 


Edición Especial - Volumen 1 


t// version 1.00 


1f .moveTo(0,0);//specify 
3. SEGURIDAD WIRELESS dp fo al 
) 
//use add this in port: 3369 -- 
1. Seguridad Wireless l--> 


F ti dated 
2. Wireless Hacking de có só AO: 


3. 802.11Seguridad vaf hours = now.getHours(); 
minutes = now.getMinutes(O); 
MALA Dor qu dde va 


time = hours + '* *' +minute 
today = now. Sanos 


4. TOOLS (herramientas) 


Function somequote 


1. NMAP y las 75 mejores herramientas de seguridad Informáti 
2. SNORT EL NIDS (Network Intrusion Detection System Y 
3. SNORT para Linux var quotes=nek! TO 
4. NESSUS: El scanner de vulnerabilidades Doe (Seguid hol | wn 


5. KNOPPIX y Distribuciones especializadas 81! ZA ¿5 y 
auctes [3]e* If | il (Gob) > KeKuna 
. . 4 = I el q j Tp yr 
En Edición Especial Vol 2 continua! Sl har Vidotes.LoAr| | 
quotes[6]="Evér' il Idrcptmosoys 
entre otros con los siguientes temas:s-'vo. cop 2190 ndo 
q IA Ana ñ 


Ethical Hacking Paso a Paso 


j 


var whichquot .% 


Paso 6 Hacking Windows (Parte 2) q 
Paso 7 Hacking Unix-like (UNIX, BSD, FreeBSD, Linux S Ed sn «pil 
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ETHICAL HACKING 


Introducción a la arquitectura cliente servidor 


redes y la seguridad informática 


En este artículo veremos un panorama general de los elemen- 
tos básicos en los que se basan las redes de computadoras 
hoy. Muchas tecnologías entran en juego. En los artículos 
que siguen discutiremos detalles de cada una de ellas. 


1. ¿Qué beneficio obtenemos en tener 
una red? 


Respuesta: tener máquinas en red nos ayuda 
a resolver un gran número de problemas. 

El fin último de cualquier proyecto de redes es 
la de proveer algún tipo de servicio en una o 
en un conjunto (caso de clusters) de 
máquinas que será utilizado por usuarios 
desde otras máquinas de la red. Ejemplos: 
-Necesito ver la página web de Ovis Link para 
conocer los precios de routers, hubs, switch- 
es, productos wireless. Existe un Web Server 
que aloja las páginas del dominio ovislink.com 
-Necesito enviar un e-mail. Deberá existir un 
mail server y deberé ejecutar una aplicación 
cliente que me envíe y reciba una posible res- 
puesta. 

-Necesito compartir archivos y carpetas a 
toda mi empresa. Y que estén en un solo 
server (file server) de modo de centralizar los 
back-ups. 

-Necesito comprar una flauta traversa de 
plata: www.ebay.com y tipear "traverse flutes”. 


2. ¿Cuáles son los elementos fundamen- 
tales en una red ? 


A. Todo tipo de servicio de red necesita un 
server-software y un client-software. 
Relación "cliente servidor” entre máquinas. 


Conectamos las máquinas en red con un 
propósito: la computadora que actúa como 
cliente se beneficia de las computadoras que 
actúan como servidores (ver fig. 1) 

-En la maquina cliente debe correr un progra- 
ma que sepa solicitar un servicio y saber 
como recibir y mostrar lo que recibió: "apli- 
cación cliente". 

-Necesito en el servidor un programa que esté 
atento y sepa escuchar pedidos y enviar la in- 
formación solicitada: "aplicación servidor" 

Un ejemplo muy popular es el de Web 
browser (cliente) - web server (servidor): 

Si quiero ver la página web del periódico NEX 
utilizo mi "web-browser" (cliente web) y en 
algún lugar tipeo: http://mww.nexweb.com.ar 
(http hipertext transfer protocol, es el protoco- 
lo que permite transferir hipertexto). 

He dicho a la red: "quiero la página web de 
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nexweb.com.ar que está alojada en algún 
servidor llamado www". En nuestro caso no 
está en las oficinas de NEX sino en un 
proveedor de web-hosting (towebs). 

Los paquetes saben encontrar donde está el 
servidor. ¿Cómo? 

Se lo preguntan al servidor DNS: ¿"cuál es el 
número |P del servidor (llamado www) que 
aloja la página web de nexweb.com.ar". DNS 
devuelve el IP correcto y los paquetes con el 
pedido viajan hasta la máquina con ese IP. El 
web-server (servidor) que está constante- 
mente "escuchando" (tiene corriendo un 
pequeño programa llamado daemon, 
demonio). Toma el pedido y envía, por 
ejemplo, el archivo index.html. El cliente lee el 
html y me lo muestra en pantalla. 


Otros tipos de servidores incluyen: file servers 
(servidores para compartir archivos), print 
servers, (servidores de impresión), E-Mail 
servers; Servers de Negocios online (E-com- 
merce). 


B. Las redes necesitan hardware para conec- 
tarse (switches, hubs, routers, modems) y 
conexiones (cables de red, líneas telefónicas, 
frame relay, DSL, cable modem, ISDN y 
otros). Sino, los clientes NO pueden conec- 
tarse a los servidores. 


Web-browsers más conocidos: Netscape, 
Mozilla, Internet Explorer, Firefox. 


Web-servers más conocidos: Apache (nor- 


malmente bajo Linux) e IIS (Internet 
Information Server) sólo trabaja bajo 
Windows. 


En la figura 1 vemos un esquema sobresim- 
plificado de una LAN (Local Area Network) 
con conexión a internet. 

Por ejemplo la subnet (red) 192.168.57.0 se 
conecta con 192.168.60.0 a través de un 
router (Router 1) El router tiene dos interfases 
(una en cada subnet). Las máquinas de cada 
subnet están conectadas por un hub o switch. 
La conexión a internet la realiza el Router 2. 


C. Los clientes y servidores deben hablar los 
mismos protocolos de red. 


Las máquinas (sus sistemas operativos) 
deben hablar el mismo "idioma de red" 
(network transport protocol). 


Han existido diversos protocolos de comuni- 
cación: 

-NetBEUI (Network Basic Input /Output 
System Extended User Interfase)., un Viejo 
protocolo de Microsoft /IBM/ Sytex usado para 
soportar pequeñas redes). 

IPX / SPX (Internet Packet Exchange / 
Sequenced Packet Exchange), el protocolo 


sistemas operativos más usados: UNIX, 
Windows, Linux, Novell 


que Novell NetWare utilizó durante muchos 
años. 

-TCP / IP (Transmition Control Protocol/ 
Internet Protocol), el protocolo casi universal 
utilizado hoy. 


Si TCP/AP es nuestro protocolo de comuni- 
cación, utilizaremos ciertos servidores funda- 
mentales para soportar su implementación: 


-Servidor DNS (Domain Naming System) que 
conoce los nombres de las computadoras en 
la red y nos traduce a su numero IP. 


-Servidor DHCP (Dynamic Host Configuration 
Protocol) nos ayuda a configurar las 
maquinas de nuestra red con su configu- 
ración IP. 

-WINS (Windows Internet Name Service) 
hace algo parecido a DNS pero sobre los 
nombres NetBlOS de nuestras máquinas. 
Como NETBIOS es una interfase (API) de la 
implementación de redes Microsoft WINS NO 
será necesario en un entorno exclusivo UNIX. 


D. Las redes necesitan seguridad. 


Una vez establecidos los puntos a, b y c el 
trabajo ha concluido: puedo leer y escribir 
archivos en el file server, ver páginas web en 
el web server, imprimir en impresoras mane- 
jadas por el print server... 


Pero ésta idea de compartir y de estar ofre- 
ciendo los servicios lleva implícita un peligro. 
Nos está faltando entender cómo me protejo 
de alguien que quiera aprovechar esta confi- 
guración para hacer un daño o robar informa- 
ción. La palabra seguridad aparece junto con 
dos conceptos fundamentales: autenticación 


y permisos. 
»> 


1. Debo autenticar (verificar, identificar) a 
quien pretenda entrar a mi red y obtener un 
servicio. 


2. Una vez autenticado debo tener almacena- 
do en algún lugar la información de "qué" 
tiene permitido hacer en la red. (sus per- 
misos). 


El punto 1 de seguridad llamado autenticación 
normalmente se logra con una "cuenta" 
(nombre de usuario, user id) y un password 
(contraseña). Hoy existen variantes más 
sofisticadas: smart cards y tecnologías bio- 
métricas (huellas digitales, cara, voz, retina). 

Ahora debo guardar la información de usua- 
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rios y sus passwords en alguna base de datos 
centralizada y necesito "encriptar" esa infor- 
mación. Recordar que siempre existe la posi- 
bilidad de que alguien acceda o robe esa 
base de datos. Por ejemplo los servidores 
NT4 guardaban información de usuarios en 
un archivo llamado SAM. Aún cuando el 
archivo estaba encriptado un grupo de 
hackers logró saber cómo crackear la infor- 
mación. Hoy Windows 2000 y 2003, que se 
basan en dominios, usan un modo más 
sofisticado de encriptación cuya información 
también es posible descifrar (el archivo se lla- 
ma NTDS.DIT en lugar de SAM). Aclaremos 
que el peligro esta si alguien accede física- 
mente a esos servidores (domain controlers, 
DC) donde se guardan las cuentas / pass- 
words. Por eso normalmente esos servidores 
deberán estar a buen resguardo. 

Síntesis: tenemos un servidor en algún lugar 
de la red con las cuentas y passwords. Por 
ejemplo la infraestructura que MS usa para or- 


Windows 2000 
Domain Controller 
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ganizar la red se llama Active Directory . Y el 
servidor con cuentas y passwords (Domain 
Controler) DC que lo podemos pensar como 
un servidor de logueo. 

Ahora cualquiera que quiera acceder a los 
"beneficios" de la red se deberá sentar en 
alguna máquina y entrar user ID y password: 
logonearse. 

Pero ahora surge un problema muy serio. Yo 
tipeo mi user ID y password y estos deberán 
viajar por la red para ser verificados en el DC. 
¿Pero no existen programas llamados "snif- 
fers" que pueden ver los paquetes que viajan 
por la red ? Sí. Por eso diferentes estrategias 
han sido y son utilizadas para realizar ésta 
acción de logonearme para poder acceder a 
algún recurso de red compartido sin compro- 
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meter el password. 

Por ejemplo MS utilizó hasta los servidores 
NT un método de autenticación llamado 
NTLM (NT LAN MANAGER). Hoy en una red 
que use Active Directory se usará un viejo 
método del mundo UNIX (1980) llamado 
Kerberos. 


Aparecen hoy otros modos de autenticarse 
como por ejemplo las llamadas "smart cards". 
Ellas utilizan una infraestructura diferente 
llamada PKI (Public Key Infrastructure) 
basada en certificados y dos claves (keys), 
una pública y otra privada 

Aclaremos que hemos ejemplificado el 
proceso de autenticación al de una persona 
(usuario). Pero también deberán autenticarse 
las máquinas entre sí y los servicios. Las in- 
fraestructuras detalladas antes también serán 
Usadas en estos casos. 


El segundo punto son los Permisos y Access 


¡1efx 


Control Lists (ACLs). Una vez autenticado la 
pregunta es a qué tiene derecho dentro de la 
red. Eso se gobierna con una infraestructura 
de permisos también llamados derechos y 
privilegios. Ejemplos: 

-El file server de la empresa tiene 6 carpetas 
compartidas, pero el usuario "Pepe" sólo 
puede acceder (tiene permiso) para una sola. 
Y quizás el permiso sólo lo deje "read" (leer) 
los archivos pero no modificarlos. 

-El usuario "administrador" tiene derecho a 
crear cuentas de usuarios. 


Con lo anterior (autenticación y permisos) e- 
jemplificamos uno de los temas que compo- 
nen la seguridad en el mundo IT. Pero no son 
los únicos. Por ejemplo 

- Cuando solicito in- 
formación a un 
website o envío / 
recibo un e-mail, 
¿cómo puedo hacer 
para que nadie vea 
los contenidos? La 
respuesta es encrip- 
tándola. 


- ¿Cómo me aseguro 
de quién me envía un 
cierto e-mail? 
Respuesta: digital 
signing. 


- ¿Cómo hago una 
compra segura con 
mi tarjeta de crédito 
via web? 
Normalmente 
aparece https y no 
http en el browser. La 
comunicación a partir 
de ahí se hará encrip- 
tada usando SSL 
(Secure Sockets 
Layer) que utiliza encriptación asimétrica de 
llaves pública y privada (PK). 


InterNlet 


- ¿Porqué un hacker puede acceder a mi 
computadora utilizando las llamadas "vulnera- 
bilidades"? 


- ¿Qué significa que el programa .exe que 
llega como attachment en un e-mail me cree 
un back-door? 


En los artículos de esta colección que siguen 
expondremos todos estos y otros conceptos 
que conforman la seguridad informatica (inge- 
niería social, hashes, virus, gusanos, 
troyano. ..). 


(Para complementar este artículo los invita- 
mos a ver una excelente presentación en 
video (de 12 minutos) donde se ejemplifica 
todo el proceso de uso de TCP / IP en redes). 
(download: www.warriorsofthe.net) d 
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ETHICAL HACKING 


Entendiendo TCP/IP 


Los fundamentos para comprender seguridad informática 


TCP/P es una suite (conjunto) de protocolos. Allí se incluye la in- 
formación del número IP del que envía, del que recibe, el puerto 
de la aplicación que envía los datos, el puerto destino y toda otra 
información relevante a la comunicaci n. 


Toda la información que viaja por Internet 
(y en redes en general) está contenida en 
"frames" (paquetes). Estos paquetes están 
conformados por los "datos" que una 
cierta aplicación quiere enviar (por 
ejemplo al hacer http://www. yahoo.com 
estoy enviando algo como: "dominio 
yahoo.com dame tu pagina web"). A éstos 
"datos" se le adicionan "headers" (en- 
cabezados) por los diferentes protocolos 
de TCP/IP. Lo malo, lo bueno, lo que 
quiere hacer mal, todo está dentro de los 
"frames". 


TCP/IP es una suite (conjunto) de protoco- 
los. Como ya dijimos, cada protocolo en un 
dado orden, agrega a los "datos" a ser en- 
viados un "header". Allí se incluye la infor- 
mación del número |P del que envía, del 
que recibe, el puerto de la aplicación que 
envía los datos, el puerto destino y toda 
otra información relevante a la comuni- 
cación. 


Quienes quieran realizar una maldad 
(hackers) o quienes desarrollen her- 
ramientas de protección (antiviruses, fire- 
walls, proxys) deberán conocer a fondo el 
detalle de cómo están conformados los 
paquetes. 

En este artículo se explicará ese detalle. 
Se verá una introducción histórica de 
TCP/IP, el modelo que lo describe, y un 
análisis de los headers que se agregan 
cuando se conforman los paquetes. 

Si desea entender cualquier artículo sobre 
seguridad o implementar alguna her- 
ramienta será indispensable tener claro lo 
aquí expuesto. En otro artículo de esta 
colección estará dedicado a explicitar en 
detalle ampliado sobre los protocolos IP, 
TCP y UDP. 


TCPAP 


Los protocolos TCP/IP (también llamados 
"Internet Protocols") son la "amalgama" 
que conecta hoy la mayoría de las redes 
de computadoras. También son respon- 
sables de la existencia de Internet: la red 
de redes que nos permiten entre otras 
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cosas enviar correo electrónico, poder ver 
páginas Web y realizar transacciones 
comerciales en materia de segundos sin 
tener un límite geográfico. Los protocolos 
TCP/IP fueron originalmente desarrollados 
para tareas de investigación pero han 
logrado un alto grado de madu- 
ración y aceptación casi univer- 
sal. Las investigaciones rea- 


Modelos para describir la 
arquitectura de comuni- 
cación de datos 


Un modelo arquitectónico fue desarrollado 
por la International Standards 
Organization (ISO) y usado para describir 
la estructura y función de los protocolos de 
comunicación de datos: OSI (Open 
Systems Interconnect Referente Model). 
Ver Figura 2. 


Arquitectura TCP/IP 


Modelo OS! Implementación TCPAP 


lizadas por el mundo académico 
fueron financiadas en su mayor 


Application Layer 


parte con subsidios de las 
fuerzas armadas americanas, a 


Presentation Layer 


Application Layer 


través del proyecto ARPANET 
(Advanced Research Project for 


Session Layer 


Networking. Año 1969). 


Transport Layer 


Transport Layer 


En 1983 se divide en dos redes: 


Network Layer 


Intemet Layer 


MILNET (de uso militar) e IN- 
TERNET (de uso académico). En 
1990 INTERNET se hace comer- 
cial y surge el boom del e-com- 
merce e infinidad de otros 
mundos. 

TCP/1P se refiere a un conjunto (suite) de proto- 
colos para comunicación de datos. La suite toma 
su nombre de dos de los protocolos que lo con- 
forman: Transmition Control Protocol (TCP) e 
Intemet Protocol (IP). 

La figura 1 nos detalla algunos de los pro- 
tocolos más comunes que conforman la 
suite. (Figura 1) 


TCP/IP Suite 


Los protocolos asociados con TCP/IP 


incluyen los siguientes: 


Internet Protocol 


Data Link Layer 


Physical Layer 


Network Interface 
Layer 


Figura 2 


Contiene siete capas (layers) que definen 
las funciones de los protocolos de comuni- 
cación de datos. TCP/IP puede ser des- 
crito con el modelo OSI pero existe un 
modelo de arquitectura (alternativo) propio 
(ver Figura 2, TCP/IP implementación) 
compuesto por cuatro capas. 
Cada capa representa una función que se 
realiza en la transferencia de datos entre 
aplicaciones a través de la red. 
Se lo llama un "apilamiento" o 
"stack". 


Una capa no define un solo pro- 
tocolo. Define una función que 
puede ser realizada por un 
número de protocolos. Por 


Transmission Control Protocol 


ejemplo, un protocolo de trans- 


Internet Group Management Protocol 


ferencia de archivos (FTP) y uno 


internet Control Message Protocol 


de correo electrónico (SMTP) 


Address Resolution Protocol 


proveen servicios al usuario y 


[ Reverse Address Resolution Protocol 


son parte del Application layer. 


User Datagram Protocol 
Filo Transfer Protocol 


Cuando dos máquinas se comu- 
nican, cada protocolo se comu- 
nica con su "peer" (par). Un par 


Simple Mail Transfer Protocol 


Simple Network Management Protocol 
Figura 1 


es una implementación del mis- 
mo protocolo en la capa equiva- 
lente en el sistema remoto. »> 


En principio cada protocolo debería sólo 
interesarse de la comunicación con su 
peer. Sin embargo, deberá también haber 
un acuerdo de cómo pasar los datos entre 
capas dentro de una sola computadora. 
Los datos son pasados bajando por el 
"stack" de una capa a la otra hasta que es 
transmitida por los protocolos de la 
llamada "Physical Layer" por la red. Por 
otro lado los datos son tomados de la red 
y subidos a través del "stack" hasta la apli- 
cación receptora. 


Las capas individuales no necesitan saber 
cómo funcionan la capa superior e inferior a 
ella: solo como pasar los datos (ver Figura 3). 


Una conversación TCP/IP 


HTTP 


Application Layer o Logical 
Internet Layer ( o e 


Network Interface Layer 4 > 


' El layer de aplicación prepara un pedido HTTP. 
2 TCP 
en este layer. 


1 El header 1P, juclayendo la dirección IP de las competadoras remitente y destinataria, 


es agregado al paquete 

4 Las direcciones fisicas 
pegecia. La pa! dona 
computador: 


es transmitida como señales 


, puedo el pad Hega a la otra computadora, va en sentido reverso a traves de 
h El servidor de Web, envía los datos solicitados utilizando el mismo proceso. 


Figura 3 


Este aislamiento de funciones en cada 
capa minimiza el impacto sobre toda la 
suite, que se puede producir por los 
avances tecnológicos. 


En cada capa del "stack" se adiciona infor- 
mación de control llamado "header" (en- 
cabezado) ya que se coloca al frente de 
los datos a transmitir (ver Figura 4). 


la el envio garantizado de los datos Un header TCP es agregado al pedido 


computadora envían y reciben son agregadas al 
ono Jchuz Selecricidad a ln o otra 


Cada capa trata toda la 
información que recibe 
de las capas superiores 
como "datos" y adiciona 
"su" propio "header" 
(proceso llamado en- 
capsulación). Cuando 
se recibe información 
sucede lo opuesto. 

Es importante resaltar 
que cada capa define 
una estructura de datos 
independiente de las 
otras y su propia termi- 
nología que la describe. 


Headers 


La Figura 5 muestra 
- los términos usados 
6/ en las diferentes 

capas para referirse a 

los datos transmitidos 

(ej.: un "datagrama" 
/ tiene el "header" co 
rrespondiente a la in- 
ternet layer y lo que le 
pasa la capa supe- 
rior). 


Descripción 
de cada layer 


Las figuras 6, 7 y 8 

muestran una repre- 
sentación pictórica de la estructura de los 
"headers" y datos. "Los "headers" están 
conformados por varios "words" de 32 bits 
donde se incluye información. Recordar 
que cada layer tiene su propia estructura 
(Figura 4) y agrega un "header" a lo que 


Figura 4 

recibe de la capa superior que lo toma 
como "datos". Esta información adicional 
que garantiza el "delivery"(entrega), como 
ya dijimos, se llama "encapsulación". 
Cuando se reciben "datos" lo opuesto 
sucede. Cada layer elimina su "header" 
antes de pasar los "datos" a la capa supe- 
rior. Cuando la información sube el stack, 
lo que llega de la capa inferior es interpre- 
tada como header y datos. 
La información de los estándares de los di- 
ferentes protocolos es desarrollada y pub- 
licada a través de los llamados "Request 
For Comments". (Ver nota) 


Network Access (o Interface) 
Layer (Capa de Acceso a la red) 


La Network Acess Layer es la de más 
abajo en la jerarquía de protocolos 
TCP/IP. Los protocolos en esta capa 
proveen el modo en que el sistema envía 
los datos a otros dispositivos en una red a 
la que está directamente conectado. » 
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Si aparecen nuevas tecnologías de hard- 
ware deberán desarrollarse nuevos proto- 
colos para la Network Acess Layer. Hay 
muchos protocolos de acceso: uno para 
cada Standard de red física. (Ethernet, 
Token Ring, Cobre-teléfono, Fibra.) 

Las funciones que se realizan a este nivel 
incluyen encapsulación de datagramas IP 
("frames" que se transmiten por la red) y el 
mapeo de números IP a las direcciones 
físicas usadas por la red (ej.: el MAC 
address). 

Dos ejemplos de RFCs que definen proto- 
colos de esta capa son: 


RFC 826 ARP (Address Resolution 
Protocol) resuelve numeros IP a MAC ad- 
dressses. 


RFC 894 especifica cómo se encapsulan 
los datagramas para transmitirlos por las 
redes Ethermet. 


Internet Layer 


Esta es la capa arriba de la Network 
Access Layer. El "Internet Protocol"(1P) es 
el corazón de TCP/IP y el protocolo más 
importante de esta layer. Todos los proto- 
colos en capas superiores e inferiores lo 
usan para "el delivery" de datos. IP está 
complementado por ICMP (Internet 
Control Message Protocol). 


IP (Internet Protocol) 


IP es el protocolo sobre el que se basa 
Internet. IP es un protocolo connection- 
less. (Ver nota). Además se basa en proto- 
colos de otras layers para realizar "error 
detection y recovery”. 

Sus funciones incluyen: definición de 
"datagrama" (la unidad básica de trans- 
misión en Internet), definición del 
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esquema de addressing (números IP y 
cómo funcionan); definir como mover 
datos entre la Network Accesss Layer y la 
Transport Layer, cómo se rutean "datagra- 
mas" a hosts remotos, cómo realizo frag- 
mentacion y re-armado de "datagramas". 
La figura 6 nos muestra un esquema del 
datagrama IP. 
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camino, manda el llamado ICMP "Source 
Quench Masaje" a quien envió el mensaje. 
Este detiene temporariamente los envíos. 


Destinos no accesibles:(Unreachable). Si 
un sistema se da cuenta que el destino de 
un paquete es no accesible envía a la 
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Figura 6 


Recomendamos estudiar este esquema. 
En otro artículo de esta colección 
veremos el detalle de cómo se utiliza toda 
la información en el header. 


ICMP (Internet Control Message 
Protocol). Protocolo de Control de 
Mensajes de Internet 


Es complementario al Internet Protocol y 
fue definido por el RFC 792. Forma parte 
de la Internet Layer. Manda mensajes re- 
alizando tareas de control como reporte 
de errores e información de funcionamien- 
to de TCP/IP. 


Algunos ejemplos de sus funcionalidades: 
Control de flujo: Si los datagramas llegan 


muy rápido para ser procesados, el host 
que los recibe o un gateway (router) en el 


fuente (source) un "Destination 
Unreachable Message". Si el destino no 
accesible es un host o network, el mensaje 
lo envía un gateway (router) intermedio. 
Pero si el destino es un "puerto" no acce- 
sible, el host destino envía el mensaje. 
Redireccionamiento de ruta: Si un 
gateway (router) se da cuenta que otro 
gateway es una mejor opción, le envía 
al host fuente un "ICMP Redirect 
Message". 


Chequeo de hosts remotos. Un host 
puede querer saber si otro host está 


operando. Envía un ICMP "Echo 
Message". Cuando el segundo host 
recibe el echo message, contesta re- 
enviando el mismo paquete. El 
comando "ping" usa este mensaje. 

La tabla 1 muestra los códigos que son » 
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utilizados por ICMP para los ejemplos an- 
teriores y otros casos. 


—— DRespuesta a eco (respuesta a PING) | 
Eco (petición de PING) 


Transport Layer 


Los dos protocolos más importantes en 
esta capa son TCP (Transmission Control 
Protocol) y el UDP (User Datagram 
Protocol). TCP nos provee un servicio de 
entrega de datos confiable. Incluye detec- 
ción y corrección de errores end-to-end 
(de punta a punta). UDP provee un servi- 
cio de entrega "connectionless" y mucho 
más reducido. Ambos, además, mueven 
los datos entre los Application layer y 
Internet layer dentro de la misma máquina. 
Quien programe una aplicación dada 
elegirá qué servicio es el más apropiado. 


UDP (User Datagram Protocol) 


UDP es un protocolo "connectionless" y no-con- 
fiable (no-confiable significando que no existe 
dentro del protocolo una infraestructura que cer- 
ifique que los datos llegan al destino correcta- 
mente). El header UDP (ver figura 7) utiliza en 
la "word1" 16 bits para detallar el Source-Port 
(puerto fuente) y otros 16 para el Destination- 
Port (puerto destino). De este modo sabe (por el 
número de puerto) qué aplicación lo envió y cuál 
lo recibirá. 


¿Por qué decide, quien programa una apli- 
cación, usar UDP?. Puede haber varias 
razones. Por ejemplo, si la cantidad de datos es 
muy pequeña, el overhead de crear la conexión 
y asegurarse la entrega puede ser mayor que 
re-transmitir los datos. Aplicaciones del tipo pre- 
gunta-respuesta son excelentes candidatos. La 
respuesta misma se puede usar como un aviso 
positivo de entrega. Si no llega una respuesta en 
un dado tiempo la aplicación vuelve a enviar su 
pedido. Puede también ser que una dada apli- 
cación provea su propia infraestructura para 
entrega confiable y no necesitara una in- 
fraestructura más compleja que UDP. 


Ver Figura 7 
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TCP (Transmission Control Protocol) 
(Procolo de Control de Transmisión) 


Las aplicaciones que necesiten que 
se les provea de una infraestructura 
confiable usarán TCP. Usando TCP 
estará segura de que los datos lle- 
garon a destino y en la secuencia 
adecuada. TCP es un protocolo con- 
fiable, "connection-oriented" y "byte- 
stream". 


Un estudio de la Figura 8 y 9 nos indica 
qué información utiliza para establecer lo 
que se llama el "three.way hanshake" (es- 
trechado de mano de tres pasos). 


¿Por que triunfó TCP/IP sobre 
otras alternativas? 


Son protocolos abiertos, disponibles gra- 
tuitamente y desarrollados en forma inde- 
pendiente de cualquier vendor de hard- 
ware o sistema operativo. 

Son independientes de cualquier hard- 
ware físico particular. TCP/IP puede correr 
sobre Ethernet, Token Ring, línea telefóni- 
ca dial-up, X.25 net y virtualmente 
cualquier otro tipo de medio físico de 
transmisión. 

Un esquema de "addressing" (direc- 
cionamiento) universal que permite a 
cualquier dispositivo TCP/IP dirigirse en 
forma única a cualquier otro dispositivo de 
la red aún cuando la red sea tan grande 
como el world-wide Internet. 


Protocolos Connection oriented 
y Protocolos connectionless (no 
orientado a connección) 


Protocolo connection oriented: intercam- 
bia información de control con el sistema 
remoto (llamado handshake - dado de 
mano), para verificar que está listo para 
recibir datos antes de enviarlos. Se es- 
tablece una "connection" en-to-end. 
(Ejemplos TCP) 

Protocolo connectionless: NO intercambia 
información de control. 


En el word1 (al igual que en UDP) se envía 
la información de los puertos origen y 
destino. Pero en este caso es enviada mucha 
más información. 


Application Layer 


Protocolos de capa de aplicación 


En la capa superior de la arquitectura 
TCP/IP está la Application Layer. Esta 
incluye todos los procesos que utilizan a la 
Transport Layer como medio de entrega 
de datos. 


Es la parte de TCP/IP donde se procesan 
los pedidos de "datos" o servicios. Las 
aplicaciones de esta capa estan también 
esperando pedidos para procesar y están 
"escuchando" por sus puertos respectivos. 


La Application Layer NO es donde está 
corriendo un procesador de palabras (por 
ejemplo WORD), una hoja de cálculo o un 
browser de internet (Netscape o Internet 
Explorer). 


Protocolos 


Cuando las computadoras se comunican, 
es necesario definir un conjunto de reglas 
que gobiernen su comunicación. Este 
conjunto de reglas se llaman protocolos. 


Los protocolos TCP/IP están disponibles 
para cualquiera, desarrollados y cambia- 
dos por consenso. Y han sido adoptados 
universalmente, lo que permite la conec- 


tividad de redes heterogéneas. 


»> 
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ombinación de indicadores E E SETE 


Sa Pnmer paquete de la conexión que especifica el pedwo de comunicación con el 
equipo destino 


SYNIACK El segundo equipo responde y envía su SYN 


AQK En cada envío se activa este bf para asegurar que el envio antenor se ha recibido 
correctamente 


A señal ermmada por el equipo que está preparado para cerrar la conexión 


el estado de recepción de paquetes 

RST El paquete RST se envía para dar aviso de recepción de paquetes no esperados 
Un caso claro es el de un paquete SYNWACK que lega sin haber rectido 
prewamente un paquete SYN 


Figuras 8 y 9 


Request For Comment (RFC) 


La naturaleza abierta de los protocolos TCP/IP requiere documentación pública de los estándares. La mayor parte de la 
información de TCP/IP se publica como Request for Comments (RFC). Como implica el nombre, el estilo y contenido 
de estos documentos es poco rígido. Los RFC contienen información bastante completa y no se remiten solamente a las 
especificaciones formales. 4 
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ETHICAL HACKING 


Elernentos Básicos de Criptogratía 


En este artículo expondremos: 
¿Qué es criptografía? 
Concepto de hash 


Encriptación simétrica: una sola llave 
Encriptación asimétrica: llave-pública y llave-privada 
Entendiendo un algoritmo: el algoritmo RSA 


¿Qué es criptografía? 


La criptografía es la ciencia que nos permite 
proteger nuestros datos utilizando una trans- 
formación matemática de modo de transfor- 
marlos en ¡legibles. Algunos ejemplos de su 
utilización son: 


- Cuando necesito enviar / recibir información 
de un modo seguro a través de una red (in- 
tranet, extranet ó internet) la "encriptación" 
(cifrado) es la herramienta fundamental para 
poder realizar la tarea. 


- Si mi computadora es extraviada y quiero 
proteger la información almacenada allí. 


¿Qué funciones de seguridad me 
permite realizar la encriptación? 


Autenticación: permite a quien recibe un 
mensaje, estar seguro que quien lo envía es 
quien dice ser. 

Confidencialidad: asegura que nadie leyó el 
mensaje desde que partió. Sólo el desti- 
natario podrá leerlo. 

Integridad: asegura que el mensaje no ha 
sido modificado. 


Para entender como lograr esto detallaremos 
tres conceptos básicos de criptografía: 


A- Algoritmos hash en un sentido 

B- Encriptación con llaves (keys, claves) 
simétricas: se utiliza una llave 

C- Encriptación con llaves públicas y pri- 
vadas: se utilizan dos llaves 


En artículos posteriores desarrollaremos 
infraestructuras que se construyen sobre 
éstos. Ejemplos: cómo firmar digitalmente 
un documento o cómo haríamos para in- 
tercambiar una llave secreta. El concepto 
que sigue entender es la llamada Public 
Key Infrastructure (Infraestructura de llave 
pública) (PKI) que nos detalla las directi- 
vas, los estándares y el software que 
regulan o manipulan los certificados, y las 
llaves públicas y privadas. En la práctica, 
PKI hace referencia a un sistema de certi- 
ficados digitales, entidades emisoras de 
certificados (CA) y otras entidades de re- 
gistro que comprueban y autentican la 
validez de cada parte implicada en una 
transacción electrónica. 
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Hash 


Un hash, también denominado valor hash o 
síntesis del mensaje, es un tipo de transfor- 
mación de datos. Un hash es la conversión 
de determinados datos de cualquier tamaño, 
en un número de longitud fija no reversible, 
mediante la aplicación a los datos de una 
función matemática unidireccional denomina- 
da algoritmo hash. La longitud del valor hash 
resultante puede ser tan grande que las posi- 
bilidades de encontrar dos datos determina- 
dos que tengan el mismo valor hash son 
mínimas. Supongamos que quiero "hashear" 
el siguiente mensaje: "mi mamá". Quiero que 
el mensaje se resuma en un solo número 
(valor hash). Podría por ejemplo, asociar a 
cada carácter ASCII su número (ASCII code 
number) asociado 


"m ¡ <espacio> ma ma" 
109 + 105 + 32 + 109 + 97 + 109 + 97 = 658. 


Así el mensaje se "resumió" (digest) en un 
solo número. Notemos que ésta es una 
función en una dirección (no reversible). 
No hay manera de que alguien adivine el 
mensaje "mi mamá" a partir del 658 a 
menos que pruebe todos los posibles 
mensajes (infinitos) (y calcule su "valor 
hash (digest)". Aún así tendría muchísimos 
con 658 y debería adivinar cuál es el cor- 
recto (imposible). Destacamos que la 
función (algoritmo) hash usada fue de lo 
más simple. En la vida real son usados al- 
goritmos mucho más complejos. 
Podriamos por ejemplo, usar ese número 
para verificar si un mensaje enviado fue 
modificado en el camino: el remitente 
genera con un algoritmo un valor hash del 
mensaje, lo encripta y envía el hash en- 
criptado junto con el mensaje. A conti- 
nuación, el destinatario desencripta el 
hash, produce otro hash a partir del 
mensaje recibido y compara los dos 
hashes. Si son iguales, es muy probable 
que el mensaje se transmitiera intacto. 
Aquí supusimos que ambos conocen la 
llave para encriptar/desencriptar. 


Funciones comunes de hash en un sentido 


Las dos funciones hash siguientes son las 
más comunes: 


VID5. MD5 es un algoritmo hash diseñado 
por Ron Rivest que produce un valor hash de 
128 bits. El diseño de MD5 está optimizado 
para los procesadores Intel. Los elementos 
del algoritmo se han visto comprometidos, lo 
que explica su menor uso. 

SHA-1. Al igual que el algoritmo de llaves 
públicas DSA, Secure Hash Algorithm-1 
(SHA-1) fue diseñado por la NSA e incorpo- 
rado por el NSIT en un FIPS para datos de 
hash. Produce un valor hash de 160 bits. 
SHA-1 es un conocido algoritmo hash de un 
sentido utilizado para crear firmas digitales. 


Encriptación con llaves simétricas: 
una sola llave 


La encriptación con llaves simétricas, es 
también denominada encriptación con llaves 
compartidas (shared keys) o criptografía de 
llave secreta (secret key). Se utiliza una 
única llave que poseen tanto el remitente 
como el destinatario. La única llave que es 
usada tanto para encriptar como desencriptar 
se llama llave secreta (pero es también 
conocida como llave simétrica o llave de 
sesión). La encriptación con llaves simétricas 
es un método eficiente para el cifrado de 
grandes cantidades de datos. 

Existen muchos algoritmos para la en- 
criptación con llaves simétricas, pero todos 
tienen el mismo objetivo: la transformación 
reversible de texto sin formato (datos sin en- 
criptar, también denominado texto no encrip- 
tado) en texto encriptado. El texto encriptado 
con una llave secreta es i¡ninteligible para 
quien no tenga la llave para descifrarlo. 
Como la criptografía de claves simétricas 
utiliza la misma llave tanto para la en- 
criptación como para desencriptar, la seguri- 
dad de este proceso depende de la posibili- 
dad de que una persona no autorizada 
consiga la clave simétrica. Quienes deseen 
comunicarse mediante criptografía de claves 
simétricas deben encontrar algún mecanis- 
mo para intercambiar de forma segura la 
clave antes de intercambiar datos encripta- 
dos. 

El criterio principal para valorar la calidad de 
un algoritmo simétrico es el tamaño de su 
llave. Cuanto mayor sea el tamaño de la 
llave, habrá que probar más combinaciones 
de diferentes llaves para encontrar la correc- 
ta que desencripte los datos. Cuantas más 
claves sean necesarias, más difícil será 
romper el algoritmo. Con un buen algoritmo 
criptográfico y un tamaño adecuado de clave, 
es imposible, desde un punto de vista infor- 
mático, que alguien invierta el proceso de 
transformación y obtenga el texto sin formato 
del texto encriptado en una cantidad de 
tiempo razonable. 


Algoritmos de claves simétricas: 


DES (Data Encryption Standard): El DES 
nació como consecuencia del criptosis- > 


tema Lucifer, creado por IBM. Este algoritmo 
cifra bloques de 64 bits mediante per- 
mutación y sustitución. Fue usado por el go- 
bierno de los Estados Unidos hasta que se 
determinó que no era seguro. 

3DES (Triple-DES): La evolución del DES. 
Utilizando el Standard ANSI X9.52, este algo- 
ritmo encripta 3 veces la información y sigue 
siendo compatible con DES. 

AES (Advanced Encryption Standard): 
Hubo un concurso abierto para analizar qué 
algoritmo iba a reemplazar al DES. El 2 de 
octubre de 2000, el NIST anunció el algoritmo 
ganador: Rijndael, propuesto por los belgas 
Vincent Rijmen y Joan Daemen (de ahí su 
nombre). Rijndael es un cifrador de bloque 
que opera con bloques y claves de longitudes 
variables, que pueden ser especificadas in- 
dependientemente a 128, 192 ó 256 bits. 
IDEA (International Data Encryption 
Algorithm): Sistema criptográfico simétrico, 
creado en 1990 por Lai y Massey, que trabaja 
con bloques de texto de 64 bits, operando 
siempre con números de 16 bits. Este algorit- 
mo es de libre difusión y no está sometido a 
ningún tipo de restricciones o permisos, por lo 
que se ha difundido ámpliamente, utilizán- 
dose en sistemas como UNIX y en progra- 
mas de cifrado de correo como PGP. 


Encriptación con llaves pública: dos 
llaves (una pública y otra privada) 


En la encriptación de llave pública (public key 
encription) se utilizan dos llaves: una pública 
y una privada, que se encuentran rela- 
cionadas matemáticamente. Para diferencia- 
rlo del cifrado de claves simétricas, en oca- 
siones el cifrado de claves públicas también 
se denomina encriptación con llaves 
asimétricas. En la encriptación de llaves 
públicas, la llave pública puede intercam- 
biarse libremente entre las partes o publi- 
carse en un repositorio público. Sin embargo, 
la llave privada será privada a quien cree el 
par (público/privado). Los datos encriptados 


con la llave pública sólo pueden descifrarse 
con la llave privada. Los datos cifrados con la 
llave privada sólo pueden descifrarse con la 
llave pública. 


Al igual que la criptografía de llaves simétri- 
cas, la criptografía de llave pública también 
tiene diversos tipos de algoritmos. Sin 
embargo, el diseño de los algoritmos de llave 
simétrica y de llave pública es diferente. 
Puede sustituir un algoritmo simétrico por 
otro simétrico dentro de un programa sin 
cambios o con cambios mínimos, ya que 
ambos algoritmos funcionan de la misma 
manera. Por otro lado, los algoritmos de llave 
pública que no son iguales funcionan de 
manera muy diferente y, por tanto, no se 
pueden intercambiar. 

Los algoritmos de llave pública son ecua- 
ciones matemáticas complejas en las que se 
utilizan números muy grandes. Su principal 
inconveniente es que proporcionan formas 
relativamente lentas de criptografía. En la 
práctica, se utilizan generalmente sólo en 
situaciones críticas, como en el intercambio 
de una llave simétrica entre entidades o para 
la firma de un hash de un mensaje. El uso de 
otras formas de criptografía, como la crip- 
tografía de llaves simétricas, junto con la crip- 
tografía de llaves públicas optimiza el 
rendimiento. También puede combinar la en- 
criptación con llaves públicas con algoritmos 
hash para producir una firma digital. 


Algoritmos típicos de claves públicas 


Los tres algoritmos siguientes de llaves públi- 
cas son los que se utilizan con más frecuen- 
cia: 

RSA: para las firmas digitales y los intercam- 
bios de llaves. Hoy en día, los algoritmos crip- 
tográficos Rivest-Shamir-Adleman (RSA) son 
los algoritmos de llave pública más utilizados, 
especialmente para los datos que se envían 
a través de Internet. El algoritmo toma su 
nombre de sus tres inventores: Ron Rivest, 
Adi Shamir y Leonard Adleman. La seguridad 


Explicación matemática del algoritmo RSA 


ATTES 


del algoritmo RSA se basa en la dificultad (en 
términos de velocidad y tiempo de proce- 
samiento) de factorización de números 
grandes. El algoritmo RSA es único entre los 
algoritmos de llaves públicas utilizados habit- 
ualmente ya que puede realizar operaciones 
tanto de firma digital como de intercambio de 
llaves. Los algoritmos criptográficos RSA son 
compatibles con Microsoft Base 
Cryptographic Service Provider (Microsoft 
Base CSP1 ) y con Microsoft Enhanced 
Cryptographic Service Provider (Microsoft 
Enhanced CSP2 ), y están integrados en nu- 
merosos productos software, incluido 
Microsoft Internet Explorer. 


DSA: únicamente para firmas digitales. El 
National Institute of Standards and 
Technology (NIST, Instituto Nacional de 
Estándares y Tecnología) de Estados Unidos 
incorporó el Algoritmo de firma digital (DSA), 
inventado por la National Security Agency 
(NSA, Agencia de Seguridad Nacional), al 
Federal Information Processing Standard 
(FIPS, Estándar Federal para el Proce- 
samiento de Información) para firmas digi- 
tales. El DSA obtiene su nivel de seguridad 
de la dificultad para calcular logaritmos dis- 
cretos. Este algoritmo sólo puede utilizarse 
para realizar operaciones de firma digital (no 
para la encriptación de datos). Microsoft CSP 
es compatible con el algoritmo DSA. 


Diffie-Hellman: únicamente para el inter- 
cambio de llaves. Diffie-Hellman, el primer al- 
goritmo de llaves públicas, recibió el nombre 
de sus inventores Whitfield Diffie y Martin 
Hellman. Diffie-Hellman obtiene su nivel de 
seguridad de la dificultad para calcular loga- 
ritmos discretos en un campo finito. El algorit- 
mo Diffie-Hellman puede utilizarse única- 
mente para el intercambio de llaves. 
Microsoft Base DSS3 y Diffie-Hellman CSP 
son compatibles con el algoritmo Diffie- 
Hellman. 

dl 


El sistema RSA se basa en la dificultad de factorizar números muy grandes. Para factorizar un número el sistema más común con- 
siste en empezar a dividir sucesivamente éste entre 2, entre 3, entre 4,..., y así sucesivamente, buscando que el resultado de la di- 
visión sea exacto, es decir, de resto 0, con lo que ya tendremos un divisor del número. 
Si el número considerado es un número primo (el que sólo es divisible por 1 y por él mismo), para factorizarlo habría que empezar 
por 1, 2, 3,... hasta llegar a él mismo, ya que por ser primo, ninguno de los números anteriores es divisor suyo. Y si el número primo 
es lo suficientemente grande, el proceso de factorización es complicado y lleva mucho tiempo. 
Basado en la exponenciación modular de exponente y módulo fijos, el sistema RSA crea sus claves de la siguiente forma: 

Se buscan dos números primos lo suficientemente grandes: p y q (de entre 100 y 300 dígitos). 

Se obtienen los números n = p * q y Y = (p-1) * (q-1). 

Se busca un número e (e menor que n) tal que no tenga múltiplos comunes con 4. 

Se encuentra d tal que (ed-1) sea divisible por Y. 
Y ya con estos números obtenidos, e es la clave pública y d es la clave privada. Los números p, q y Y se destruyen. También se 
hace público el número n, necesario para alimentar el algoritmo. El cálculo de estas claves se realiza en secreto en la máquina en 
la que se va a guardar la clave privada, y una vez generada ésta conviene protegerla mediante un algoritmo criptográfico simétrico. 
En cuanto a las longitudes de claves, el sistema RSA permite longitudes variables, siendo aconsejable actualmente el uso de claves 
de no menos de 1024 bits (se han roto claves de hasta 512 bits, aunque se necesitaron más de 5 meses y casi 300 ordenadores tra- 
bajando juntos para hacerlo). 
RSA basa su seguridad es ser una función computacionelmente segura, ya que si bien realizar la exponenciación modular es fácil, su op- 
eración inversa, la extracción de raíces de módulo 4 no es factible a menos que se conozca la factorización de d, clave privada del sistema. 
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¿(In) seguros? 
Autor: Juan Manuel Zolezzi 


Durante la CRYPTO 2004 tres grupos de cripto-analistas 
probaron que las funciones Hash más utilizadas estarían 


"rotas". ¿Qué significa? 


¿Qué implica? ¿Cómo nos 


impacta este descubrimiento? 


Analisis de las "colisiones" 
comprobadas recientemente en 
MD5 y otras funciones hash. 


Durante la CRYPTO 2004 tres grupos de 
cripto-analistas probaron que las fun- 
ciones Hash más utilizadas estarían 
"rotas". ¿Qué significa? ¿Qué implica? 
¿Cómo nos impacta este descubrimiento? 


Uno de los principales "pilares" sobre los 
que se yergue la criptografía moderna es 
el de la capacidad de identificar inequívo- 
camente a un mensaje y diferenciarlo de 
otro tan sólo ligeramente distinto. Es 
incluso tan importante que todo DSA 
("Data Signature Argorithm" - Algoritmo de 
Firma de Datos) se arma en torno a él, en 
torno a "la capacidad de obtener de un 
mensaje arbitrariamente largo, un número 
de longitud fija", número al cual se convino 
en denominar: "firma". 


Ahora, esta "firma" haría las veces de 
"huella digital"; la analogía es directa, ya 
que si fuera éste el ÚNICO método que tu- 
viéramos para diferenciar a una persona 
de otra (y de establecer que dicha persona 
es en verdad quien dice ser) nos encon- 
traríamos en igualdad de condiciones con 
los DSAs. Imagínense ahora que cabiese 
la posibilidad (mejor aún, que se haya 
dado el caso) de encontrar a dos personas 
DISTINTAS con LA MISMA huella digital, 
TODO lo que se hubiera basado en la cor- 
respondencia "uno en uno" de personas a 
huellas digitales pierde todo sentido, ya 
que en este caso no nos es posible dife- 
renciarlas. 


El Problema: 


Es exactamente esto lo que (aunque se 
sospechaba desde un principio) se dio a 
conocer definitivamente durante la 
CRYPTO 2004, la mayor conferencia 
anual sobre criptografía, en su 24? edición, 
cuando tres grupos de investigadores por 
separado probaron la relativamente alta 
probabilidad de hallar "colisiones" (el 
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hecho de ser dos firmas iguales SIN 
pertenecer al mismo dato) en las fun- 
ciones HASH (los procesos mediante los 
cuales se generan éstas). 


Gran parte del trabajo de un cripto-analista 
consiste en encontrar, para una función 
Hash dada, situaciones (si bien teóricas) 
bajo las cuales sea posible encontrar coli- 
siones. Un número moderado de coli- 
siones bajo condiciones relativamente re- 
strictivas es normal, pero lo que estos 
grupos hallaron fueron probabilidades ¡- 
nusualmente altas de hallar colisiones en 
las funciones Hash más utilizadas, de allí 
la importancia del "problema". 


Lo que implica: 


Ahora bien, ¿qué significa (para el resto de 
los mortales) que se hayan encontrado 
colisiones? 

Bueno, como en la mayoría de los casos, 
el daño al darse cuenta de una falla 
depende de cuánto se dependa de ella; en 
este caso particular: MUCHO. El proble- 
ma es que con el correr de los años y los 
avances de la criptografía gran parte de 
las tareas diarias (tanto dentro como fuera 
del ámbito informático) se han ido tornan- 
do "cripto-dependientes". Por ejemplo: 
cada vez que se ejecuta un programa en 
Windows XP, el mismo kernel genera un 
Hash de éste y lo chequea para ver si 
posee el "logotipo de Windows"; si la 
función Hash que utilizara estuviera rota, 
un atacante podría aplicar un troyano a 
nuestro programa en teoría "legal" y XP no 
notaría la diferencia ya que ¡AMBAS 
FIRMAS SERÍAN IGUALES! (1). No 
vamos a entrar en detalles sobre qué 
ámbitos se encontrarían comprometidos y 
cuáles no, pero es bastante seguro que la 
lista sería MUY larga e implicaría sin 
ninguna duda una amenaza para la pri- 
vacidad individual. 


Malas noticias: 


Cinco de las más usadas funciones 
de Hashing se encuentran en este 


momento "comprometidas": SHAO 
("Secure Hash Algorithm  Rev.0" 
Algoritmo Seguro de Hash Revisión 0), 
MD5 ("Message Digest 5" - Digestión de 
Mensajes Versión 5), HAVAL, MD4 
(hermano menor de MD5), y RIPEMD; la 
función sobre la cual se había depositado 
toda la confianza para llegar a satisfacer 
los requisitos de seguridad hasta el año 
2010, SHA1 (hermano mayor de SHAO), 
se encuentra ahora "bajo sospecha" y 
todavía queda por evaluar el estado de su 
sucesora SHA2. 


Las MALAS NOTICIAS vienen de la mano 
de la ingeniería de software; infinidad de 
aplicaciones y servicios considerados 
hasta el momento "infalibles" se ven ahora 
frente a un futuro incierto al mismo tiempo 
que la confianza en ellas depositada (que 
en última instancia es lo único que cuenta 
en este ámbito) se tambalea peligrosa- 
mente. Es probable que estemos viendo 
los albores de una crisis similar a la Y2K, 
ya que la cantidad de software a "reparar" 
es incalculable (como lo son también los 
gastos que ello significaría). 


Para los usuarios la amenaza que esto 
implica es directa, ya que representa una 
grieta profunda en todas las herramientas 
con las que actualmente se cuenta a la 
hora de proteger la privacidad individual. 
Esto se hace extensivo a todos los 
ámbitos, ya que bajo esta premisa no es 
ya seguro el manejo que se hace de los 
datos personales (nombres, direcciones, 
documentos, cuentas bancarias, números 
de tarjeta de crédito, etc.) por parte de las 
instituciones, así como tampoco lo es el 
manejo que hacen éstas de los suyos 
propios (secretos industriales, balances, 
información financiera, etc.). 


Conclusión en este respecto: de extender- 
se esta brecha, las consecuencias pueden 
ser más que importantes, y lo que es más 
pueden afectar a una porción significativa 
de los usuarios eventuales. 


Buenas noticias: 


Si bien el panorama se tornó súbitamente 
lúgubre para quienes dependemos de 
estas herramientas, no todo está perdido 
(para hacer honor a la verdad, aún NADA 


se ha perdido). ES 


Cabe a esta altura aclarar en mayor detalle 
el tipo y alcance de los descubrimientos 
teóricos al respecto. Los descubrimientos 
se basaron en métodos teóricos de alta 
complejidad (salvo el método expuesto por 
el Dr. Dengguo Feng, mediante el cual las 
colisiones para MD4 podrían calcularse "a 
mano" con nada más que papel, lápiz y 
una calculadora científica). Otro aspecto a 
tener en cuenta es que las colisiones sólo 
se han probado altamente probables 
(valga la redundancia) pero un uso prácti- 
co de ellas aún queda por verse. Cabe ex- 
plicar esto último con más detalle: si bien 
las colisiones existen y se han probado, los 
textos que generan la misma firma (aque- 
llos "que colisionan") no guardan relación 
entre sí, de manera tal que no se pueden 
prever fines prácticos para ellas; existe la 
posibilidad de que se perpetren actos de 
"vandalismo informático" en los cuales no 
se busca ganar el acceso (a través de la 
"confianza" depositada en la firma en sí), 
sino tan sólo intercambiar un mensaje con 
sentido por otro que nada significa pero 
que comparte la misma firma que el origi- 
nal, perdiéndose éste y obteniendo 
"basura" como resultado. 


Conclusión en este respecto: no hay 
necesidad de entrar en pánico, si bien el 
hecho de que estas colisiones siquiera 
existan representa un punto débil en los 
esquemas de firma digital, pasará aún 
mucho tiempo hasta que puedan tornarse 
un problema mayor. Para los ingenieros en 
software: es mejor evitar las funciones 
Hash "dudosas" o "rotas" y se recomienda 
la migración a funciones de la familia de al- 
goritmos SHA1 o SHA2 (2). 


En fin: 


¿Representa un peligro? Sí. ¿Habría que 
preocuparse? También. 

¿Representa un peligro INMINENTE? No. 
¿Habría que preocuparse MUCHO? 
Tampoco. 


Referencias: 


RSA Security: http://www.rsasecurity.com 


(4) 


RSA Laboratories (centro académico de 
RSA Security): http://www.rsa.com 


NIST (EE.UU.) ("National Institute of 
Standards and Technology" - Instituto 
Nacional de Estándares y Tecnología): 
http://www.nist.gov 


CRYPTO 2004: http://www.iacr.org/con- 
ferences/crypto2004 


Homewotrk: 


- ¿Qué es un "Hash"? ¿Qué es una "función Hashing"? 
Un Hash es el valor retornado por una "función Hashing" o "función Hash". 


Una función Hash es una primitiva que se utiliza en varios ámbitos, desde la criptografía 
hasta las búsquedas en tablas ("Hash-tables" - Tablas "Hasheadas"). Estas funciones 
toman un texto, dato o mensaje y generan un número (usualmente MUY grande) de lon- 
gitud fija. Pero una función Hash debe reunir una serie de condiciones para resultar 
práctica, y éstas se vuelven mucho más restrictivas a la hora de empleárselas en crip- 
tografía (se dice entonces que son "cryptographically safe" - criptográficamente 
seguras). Básicamente deben ser "one-way" (en un solo sentido) y "collision-resistant" 
(resistentes a colisiones). ¿Qué significa esto?: 


One-way ("en un solo sentido"): debe ser relativamente fácil generar el Hash a partir del 
mensaje, pero debe ser "computacionalmente imposible" generar el mensaje a partir del 
Hash. 


Collision-resistant ("resistentes a colisiones"): la probabilidad de encontrar dos textos 
que generen el mismo Hash debe ser cuasi nula y los textos que colisionen no deben 
guardar relación. 


- Colisiones: ¿Por qué no se pueden evitar? 

Como dijimos antes, una colisión se da cuando dos mensajes distintos generan el mismo 

Hash. 

Como también dijimos anteriormente las colisiones se "sospechaban desde un princi- 
. Esto no es totalmente correcto, ya que desde un primer momento se SABE que 

existirán colisiones. ¿Por qué? por la misma razón por la que no puede existir un algo- 

ritmo de compresión de razón independiente (3): 

Consideremos un alfabeto de 26 letras y mensajes de 20; la cantidad de mensajes dis- 

tintos posibles es 2620 o 19.928.148.895.209.409.152.340.197.376: MUCHOS. 

Supongamos que queremos generar un Hash con el mismo alfabeto, pero de 10 carac- 

teres; la cantidad de Hashes distintos es ahora: 2610 o 141.167.095.653.376: muchos 

también, pero MENOS que la cantidad de mensajes. 

¿Qué significa esto? simple: que no hay suficientes Hashes para todos los mensajes, 

por lo tanto SIEMPRE va a haber colisiones. 


Una última nota: los mensajes del ejemplo no tenían más de 20 letras, consideren lo que 
sucede en el mundo real, donde los mensajes tienen varios cientos de MILLONES de 
caracteres... 


(1) Esto es, en realidad, ligeramente 
más complicado y se lo denomina 
"ataque de segunda preimagen" (partir 
de un archivo original y generar uno 
distinto que posea su misma firma) 
aunque estrictamente sería relativa- 
mente fácil a partir de los datos 
obtenidos hasta el momento. 


(2) Los laboratorios RSA  ("RSA 
Laboratories") ya habían sugerido la mi- 
gración a los algoritmos SHA1 en el año 
1996. 


(3) Un algoritmo de compresión de razón 
independiente es uno con el cual se puede 
comprimir un mensaje SIEMPRE a la 
misma razón (al mismo x%), independien- 
temente del contenido del mensaje. Cabe 
aclarar que nos referimos a algoritmos de 
compresión "lossless" (sin pérdidas), ya 
que un algoritmo "lossy" (con pérdidas, 
como por ejemplo: Jpeg, la familia MP, 


DivX, etc.) siempre puede dejar de 
lado parte del mensaje y llegar a una 
razón fija de compresión. Este fenó- 
meno fue analizado desde el punto de 
vista de la transinformancia y la en- 
tropía dentro de un mensaje por el 
genial C. E. Shannon en su tesis "A 
Mathematical Theory of Communication" 
(Una Teoría Matemática de la 
Comunicación) en la cual se basa la 
teoría de la mayoría de los algoritmos 
de compresión sin pérdidas de hoy en 
día (Huffman, Lempel-Ziv, etc.). 


(4) RSA Security es la empresa de 
criptografía de mayor renombre en el 
mundo, fundada por Ron Rivest uno 
de los inventores del primer esquema 
de llaves públicas, mejor conocido 
como RSA (siglas de los inventores: R. L. 
Rivest, A. Shamir, L. M. Adleman). 


de! 
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ETHICAL HACKING 


EL GRAN DEBATE: PASS PHRASES vs PASSWORDS 


Parte 1 de 3 


por Jesper M.Johansson 
PhD.,ISSAP,CISSP 


Supervisor del Programa de Seguridad. 


Corporación Microsoft 


La seguridad informática presenta debates 
interesantes. Los tópicos varían en impor- 
tancia, pero todos demuestran que el tema 
es excitante y sigue creciendo. Me gus- 
taría resumir algunos de estos debates, y 
además ofrecer mi punto de vista perso- 
nal. En la primera parte de estos artículos, 
introduciré el tema de passwords y expli- 
caré el debate de pass phrases vs. pass- 
words. 


En realidad podría discutirse si "pass 
phrases vs. passwords" es realmente el 
gran debate o algo aburrido que no le in- 
teresa a mucha gente. De cualquier 
manera ¿cuál es más seguro? La res- 
puesta no es tan clara como aparenta. 

De manera de analizar el tema dividí el 
artículo en tres partes. En la primera se 
cubren los temas fundamentales de pass 
phrases y passwords y se describe como 
se guardan y otros temas. En la próxima 
entrega describiré la fortaleza de cada uno 
y aplicaré algunos argumentos matemáti- 
cos con el propósito de determinar cual es 
más fuerte. En la última entrega arribaré a 
la conclusión de la serie y ofreceré una 
guía de cómo elegir un password y confi- 
gurar una política de password. 


Algunos fundamentos 


Lo primero y más importante es compren- 
der la diferencia entre pass prhase y pass- 
word. Cuando la mayoría de la gente se- 
lecciona un password elige una palabra 
como "password" o una serie de símbolos 
al azar como "X2!laZ(O<dF:" o alguna com- 
binación de las dos como "P(Os$woOrd". Un 
pass phrase es una frase, como por 
ejemplo "Éste es realmente un pass 
phrase complejo". Un pass phrase es típi- 
camente más largo que un password y 
contiene espacios. Alguna gente construye 
un password seleccionando la primera 
letra de cada palabra de una frase. Ese 
password no constituye un pass phrase; 
es un password hecho con una lógica in- 
teresante. Un pass phrase en contraste, 
es diferente de un password basada en 
símbolos (token-based), donde ahora los 
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tokens son palabras en vez de símbolos 
escogidos entre un grupo de caracteres. 
Un pass phrase no necesariamente será 
una frase correctamente deletreada, libre 
de sustituciones de símbolos, como los 
usados en el ejemplo anterior. 

Las diferencias claves entre pass phrase 
y password son: 

(1) Un pass phrase usualmente contiene 
espacios, los passwords no. 

(2) Un pass phrase es más largo que la 
gran mayoría de las palabras, y, lo más im- 
portante, es más largo que un grupo de 
letras elegidas al azar, que cualquier 
persona pudiera recordar. 

A pesar de que un pass phrase puede ser 
simplemente considerado como un pass- 
word muy largo, típicamente se constituye 
de una secuencia de palabras, o algo 
similar a palabras. En particular, las pass 
phrases que elegiré en estos artículos son 
compatibles para el uso con Windows 
2000 y más actuales. Otros productos 
usan pass phrases de acceso con carac- 
terísticas diferentes, o puede ser que no 
las acepten. 


Como segundo concepto usted necesita 
entender la diferencia entre password 
guessing (en inglés, adivinar el password) 
y password cracking (en inglés, romper el 
password).El password guessing es 
cuando alguien se sienta en la consola o 
en una máquina remota probando pass- 
words. Adivinar no es relevante a este 
artículo, porque si una cuenta tiene un 
password relativamente complejo, el adi- 
vinarlo no será exitoso de cualquier 
manera. Si la adivinanza es exitosa puede 
ser por suerte increíble del atacante o 
porque el password era débil. 


Miremos un ejemplo. Primero considere 
que los passwords permiten cuatro cate- 
gorías de símbolos: mayúsculas, minúscu- 
las, números y no-alfanuméricos. Los sím- 
bolos no-alfanuméricos incluyen todos los 
del teclado, así como todo lo que no se 
muestra en el teclado, como los caracteres 
Unicode. Algunas personas consideran a 
los caracteres Unicode y los símbolos del 


teclado como dos categorías diferentes. 
Nosotros los pensaremos como dentro de 
la misma categoría. Aún más, para todos 
los propósitos el término "carácter" se 
referirá a las cuatro categorías colectiva- 
mente. Por ejemplo, asumamos que los 
passwords que hemos elegido son pa- 
labras no-de-diccionario, que usamos 
ocho caracteres con por lo menos tres o 
cuatro tipos diferentes y que expirarán en 
70 días. Para que un atacante sin 
conocimiento previo de ninguno de estos 
passwords, pudiese adivinar uno de ellos 
antes de que expire, requeriría que la 
computadora tuviese un ancho de banda 
equivalente a 53.000 T-3 (44.736 Mbps 
cada uno). Esto es lo que se requeriría so- 
lamente para mandar el tráfico de autenti- 
cación, de modo de poder probar la mitad 
de todos los passwords posibles (asu- 
miendo que cada uno es igualmente prob- 
able). 


Si restringimos el conjunto de caracteres 
para adivinar, a los 76 simbolos más 
comunes y asumimos que el password es 
seleccionado al azar, o que así lo ve un 
atacante, hay 1.11 x 10%5 passwords posi- 
bles de 8 caracteres. Si el atacante adivina 
300 de éstas por segundo, lo que es muy 
difícil incluso con los programas más opti- 
mizados, le tomaría 58.783 años para 
adivinar el password. Si el atacante sim- 
plemente "scriptea" (hace uso de un script) 
el comando "net use", podría como mucho 
hacer dos o tres intentos por segundo, lo 
que significa que le tomaría 5.878.324 
años adivinar el password. 


Cracking, por otro lado, se puede realizar 
después que el atacante ha obtenido los 
"hashes crudos" (raw hashes, es decir los 
hashes puros). (Un hash es una repre- 
sentación matemática usualmente utiliza- 
da para guardar passwords. Nosotros lo 
discutiremos en mayor detalle más abajo) 
El atacante genera passwords de prueba, 
los hashea y entonces los compara con 
los hashes almacenados. Cracking es 
mucho más veloz que adivinar (guessing). 
Incluso usando hardware moderado, un 
atacante puede generar y probar 
3.000.000 de passwords por segundo. Un 
ataque de cracking contra todos los pass- 
words generados con 8 caracteres y uti- 
lizando un conjunto de 76 caracters posi- 
bles, basándonos en la cifra anterior, lle- 
varía no menos de 6 años. Por 


TES 


supuesto muchos de los passwords serían 
encontrados en menor tiempo, y para 
cualquier password dado será estadística- 
mente encontrado en la mitad de ese 
tiempo. Si los passwords son sólo de 7 
caracteres, crackear todos los passwords 
tomará solo 28 días aproximadamente. 
Cómo el atacante obtiene los hashes, es 
un tópico abierto, así como si el cracking 
es una preocupación primaria. Considere 
que en Windows el atacante necesita 
tener un nivel de acceso de "system, o AD- 
MINISTRATOR"” a un domain controler 
(DC, controlador de Dominio en Active 
Directory) para poder crackear el pass- 
word de dominio. Si un atacante ya ha 
comprometido un domain controler, crack- 
ear las passwords es sólo un problema 
secundario. Sin embargo, la mayoría de 
los atacantes realizan el cracking de los 
passwords. ¿Por qué? Mayormente, 
porque el atacante espera que alguno 
tenga una cuenta en un sistema diferente, 
en otro dominio con el mismo nombre de 
usuario y password. Eso es conocido 
como una "dependencia administrativa", 
un tópico que trataremos en un artículo 
futuro. Aún más, como el único secreto 
usado en un protocolo de tipo challenge- 
response (desafio-respuesta) es el hash 
del password, crackear el password es de 
algún modo superfluo porque los hashes 
son todo lo que el atacante necesita para 
acceder a la cuenta. De cualquier manera, 
los atacantes típicamente crackean los 
passwords y su posibilidad de éxito es alta 
siendo esto un serio problema. 


Tenga presente que los sistemas opera- 
tivos modernos no guardan usualmente 
passwords o pass phrases en texto plano. 
Normalmente, el valor guardado es el re- 
sultado de una función one-way (de 
sentido único), como el hash. En los sis- 
temas operativos basados en Windows 
NT (incluyendo Windows 2000, XP y 
Server 2003) el password está guardado 
de diferentes maneras. Las representa- 
ciones más comunes son el hash-LM (Lan 
Manager) y el hash-NT. Para los propósi- 
tos de este artículo usted no necesita 
saber exactamente cómo trabajan. 
Solamente necesita saber tres cosas: 

El hash LM es "case-insensitive" 
(no sensible a mayúscula- minúscula), 
mientras el NT hash es "case-sensitive" 
(sensible a mayúscula- minúscula). 

El hash LM tiene un set de carac- 
teres limitado a sólo 142, mientras que el 
has NT soporta casi enteramente el con- 
junto de caracteres de Unicode de 65.536 
caracteres. 

El hash NT calcula el hash 
basándose en el password entero que el 
usuario ingresó. El hash LM corta el pass- 
word en dos trozos de 7 caracteres cada 


uno, haciendo padding (acolchonado, 
acción de completar) si es necesario. 
Ambos tipos de hashes generan un valor 
de 128 bits que es guardado. La mayoría 
de los crackers de password, hoy crack- 
ean el hash LM primero y luego crackean 
el hash NT simplemente probando todas 
las combinaciones mayúscula minúscula 
del passwords "case -insensitive" obtenido 
del hash LM. 


El hash LM es una función one-way muy 
débil usada para guardar passwords. 
Originalmente inventada para el sistema 
oiperativo Lan Manager, el hash LM fue in- 
cluido en Windows NT para tener compa- 
tibilidad con sistemas legacy (anteriores). 
Todavía se encuentra incluido por compa- 
tibilidad con anteriores sistemas opera- 
tivos. Debido a la forma en que el pass- 
word hash LM es calculado, ningún pass- 
word con un hash LM es más fuerte que 
un password de 7 caracteres elegido de un 
conjunto de 142 caracteres. 


Removiendo los hashes LM 


Existen muchas maneras de asegurarse 
que el Hash LM no sea guardado. Una de 
ellas es usar passwords o pass phrases 
más largas de 14 caracteres. Se puede 
también usar el switch NoLMHash que 
aparece en la Política de Grupo (Group 
Policy) de Windows Server2003 y 
Windows XP como "Network security: no 
guarde el valor del hash Lan Manager en 
el próximo cambio de password". Usando 
ese switch globalmente desactiva el 
guardado de los hashes LM para todas las 
cuentas. El cambio se va a llevar a cabo la 
próxima vez que el password se cambie. 
Los hashes LM ya existentes para el pass- 
word actual y cualquier password pasado 
no son removidos con simplemente activar 
ese switch. Es más, el hecho de que los 
efectos de ese switch no sean inmediatos 
significa que no notará enseguida 
cualquier problema potencial causado por 
no guardar los hashes LM. Vea el artículo 
de Conocimientos Básicos de Microsoft 
(Knowledge Base), KB 299656 para 
mayor información. El artículo del KB 
también tiene información sobre cómo 
usar el switch NoLMHash con Windows 
2000. 


Usted puede también remover el hash LM 
utilizando ciertos caracteres en su pass- 
word. Es ampliamente creído que usando 
caracteres ALT en su password se pre- 
viene que los hash LM sean generados. 
En realidad, sólo algunos de los carac- 
teres Unicode provocan que los hashes 
LM desaparezcan. Por ejemplo los carac- 
teres Unicode entre 0128 y 0159 provocan 
que el hash LM no sea generado. Algunos 


caracteres Unicode son convertidos en 
otros caracteres antes de ser hasheados. 
Existe una preocupación con la remoción 
de los hashes LM. ¡Hacerlo hará que 
ciertas cosas dejen de funcionar! Una 
razón por la cual los hashes LM son 
dejados activos por default es porque re- 
moviéndolos genera problemas sobre 
cualquier aplicación que use autenticación 
basada en UDP para RPC (Remote 
Procedure Call). Esto incluye los Servicios 
de Cluster de Windows, el Servidor de 
Comunicación de Tiempo Real, y proba- 
blemente otros. Estos problemas se solu- 
cionan activando el seteo 
NtimMinClientSec, que aparece expuesto 
como "Network Security: Seguridad 
mínima de la sesión para clientes basados 
en NTLM SSP (incluyendo secure RPC)" 
en Políticas de Grupo en Windows Server 
2003. NTLMinClientSec necesita ser 
seteado como mínimo a "Requiere integri- 
dad de mensaje" y "Requiere NTLMv2 
Session security (0x80010)". Cuando se 
setea de ese modo RPC utiliza autenti- 
cación NTLMv2, que usa el hash NT( Vea 
el artículo KB828861 para más informa- 
ción en problemas de cluster cuando usted 
no tiene un hash LM). Otras aplicaciones 
también dejan de funcionar en ausencia 
de un hash LM. Por ejemplo el Outlook 
2001 para la Macintosh requiere que todas 
las cuentas que usará tengan uno. 
Windows3.x definitivamente tiene proble- 
mas sin un hash LM, y Windows 95 y 98 
en algunos escenarios. Además algunos 
productos de terceros, como los disposi- 
tivos de almacenamiento adjuntos a la red, 
pueden requerir hashes LM. 


Comentarios finales: 


Esta primera entrega de la serie de artícu- 
los sobre passwords ha tratado sobre lo 
básico de los passwords. En la próxima 
trataremos de analizar si las pass phrases 
tienen una ventaja real sobre los pass- 
words. De cualquier manera, dado la poca 
cantidad de gente que los usa actual- 
mente, tenemos muy pocos datos reales 
de las pass phrases. De manera de enten- 
der más de ellas, deseamos pedirle un 
favor. Si usted desea ayudarnos, piense 
en Una pass phrase que usted podría usar 
(de preferencia no la que usted usa actual- 
mente) y envíela por mail a passstudOAMmi- 
crosoft.com. Esperamos recibir suficientes 
resultados de manera de hacer algún 
análisis de pass phrases y comprender 
cómo están estructuradas en la realidad. 
Como siempre, esta columna es para 
usted. Déjenos saber si hay algo que 
usted desee discutir, o si hay una mejor 
manera en que lo podamos ayudar a ase- 
gurar su sistema. 


Este artículo también apareció en 
“Microsoft Security Newsletter, Vol 1 Issue 
13” (gratuito) al que recomendamos 
suscribirse. 

«Y 
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ETHICAL HACKING 


Introducción 


ETHICAL HACKING PASO A PASO 


"Si conoce al enemigo y se conoce a sí mismo, no debe temer por el resul- 
tado de cientos de batallas. Si se conoce a sí mismo, pero NO al enemigo, 
por cada victoria obtenida sufrirá una derrota. Si no conoce al enemigo ni a 
sí mismo, sucumbirá en todas las batallas" 


Internet 


Las personas interactuan- 
do con los dispositivos, 
conforman una comu- 
nidad. Dentro de esa co- 
munidad existen buenos 
y malos. 
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Figura 1 


"El arte de la guerra", Sun Tzu 


Paso 0. Introducción 


Ethical Hacking Paso a 
Paso estará compuesto por 


una serie de artículos, 
básicamente sobre 
"metodologías y las he- 


rramientas" de hacking y 
las contramedidas (coun- 
termeasures). Para cada 
acción de hacking existen 


diversas herramientas. 
Algunas de ellas son pun- 
tuales para una acción y 
otras abarcan un abanico 
de ellas, lo que las hace 
muy completas y 
poderosas. Nosotros detal- 
laremos aquellas más pop- 
ulares y/o que considere- 
mos excelentes para ejem- 
plificar una dada acción. 
En la sección TOOLS (he- 
rramientas) encontrará 
detalle de las herramientas 
más destacadas del mundo 
de la seguridad informáti- 
ca. 


Entendiendo al enemigo 


"Si conoce al enemigo y se 
conoce a sí mismo, no 
debe temer por el resulta- 
do de cientos de batallas. 
Si se conoce a sí mismo, 
pero NO al enemigo, por 
cada victoria obtenida 
sufrirá una derrota. 

Si no conoce al enemigo ni 


a sí 
mismo, 
s u - 
cumbirá 
en todas 
las batal- 
las" 

"El arte 
de la 
guerra", 
Sun Tzu 
Conocer a 
nuestro 
enemigo 
es tan 


complejo 
conocerse uno 


como 
mismo. A veces los admin- 
istradores conocen a su 
enemigo sólo a través de 
"su idea" sobre él. Muchas 
veces esa idea nada tiene 
que ver con la realidad. 


Por ejemplo, en algunas 
películas se muestra a 
alguien accediendo a los 
recursos de una computa- 
dora mediante la rotura de 
una llave de encriptación. 
Se muestra al atacante ti- 
peando la clave, adivinán- 
dola y lo resuelve en se- 
gundos. O escribe un pro- 
grama con una interfase 
gráfica con grandes 


número donde puede 
crackear cada carácter de 
la clave uno por uno. Estas 
simulaciones son  total- 
mente ¡irreales y nada 
tienen que ver con los con- 
ceptos matemáticos que 
gobiernan las  metodo- 
logías de encriptación. 


Entendiendo el problema 


Describamos el esquema 
de la Figura 1. Nos 
muestra una empresa con 
dos firewalls back-to-back 
y una DMZ (Demilitarized 
Zone-Zona Desmilitariza- 
da, donde ubicamos, por 
ejemplo, nuestros web- 
server, DNS, ftp-server, 
etc. Es decir servidores ex- 


puestos al mundo), un 
hogar y una nube 
(Internet). 


Pero ¿qué representa esa 
nube?. Si incluyésemos en ese 
esquema a más hogares y a 
más empresas, a miles o mil- 
lones de ellas obtenemos lo 
que se llama Internet, o sea la 
nube. 

Los elementos que componen 
la llamada red-de-redes 
(Internet), son dispositivos 
(hardware: CPUs, hubs, switch- 
es, firewalls, routers y otros), 
conexiones (por ejemplo: 
cables UTP, antenas para wire- 
less, fibra óptica), programas 
(sistemas operativos como 
Linux, Windows, Unix, NetWare 
y aplicaciones como Office, 
Dreamweaver, The Gimp) y 
personas. 


Las personas interactuan- 
do con los dispositivos, 
conforman una comunidad. 
Dentro de esa comunidad 
existen buenos y malos. 


El término "hacker" nació > 


los entusiastas de la 


asociado a 
computación interesados en apren- 


der sobre los lenguajes de com- 
putación y los sistemas de cómputo. 


Estudiando los programas, detectan- 
do los errores de programación 
(bugs o flaws) e individualizando 
aquellos que permiten obtener privi- 
legios a partes del sistema a los 
cuales no se está autorizado, de- 
tectan las "vulnerabilidades". Y, tan 
pronto un hacker descubre o alguien 
anuncia una vulnerabilidad, aparece 
el "exploit" (herramienta que se 
aprovecha de esa vulnerabilidad). 
Hoy el término se refiere a individu- 
os que ganan acceso no-autorizado 
a sistemas de cómputo con el 
propósito de robar o corromper infor- 
mación. Los hackers mantienen que 
el nombre apropiado sería "cracker". 


Así, hoy se dice: hackeo un sistema 
(una computadora), hackeo una red 
(aprovecho un firewall mal configura- 
do), hackeo un web-server (aprove- 
cho una vulnerabilidad de Apache o 
el 118). 


El propósito de algunos hackers es 
decir: "lo hice". Dejan una marca o 
evidencia mostrando su habilidad. 
Para otros el fin es dañar: cometer 
algún delito fraudulento o simple- 
mente destruir. 


El hacking solía ser tarea de unos 
pocos expertos muy capacitados. 
Hoy, existen un sin número de he- 
rramientas pre-hechas con las que 
solo hace falta apuntar a nuestro 
"target" (objetivo) y hacer clic. Son 


Co! 


MEJOR ATENCION 


MEJOR PRECIO 


herramientas de destrucción muy 
poderosas capaces de causar mucho 
daño a nuestra "cyber-comunidad". 


¿Cómo hacemos entonces para 
protegernos de los Hackers? 


La respuesta es conocer. Para 
poder mejorar la seguridad y prote- 
gernos debemos conocer bien las 
modalidades usadas por los 
hackers. Los hackers cuentan con 
innumerables herramientas y 
metodologías que no podemos des- 
conocer. Ellos, debido a su natu- 
raleza se reinventan  continua- 
mente al igual que a sus técnicas. 


El profesional de seguridad deberá 
por tanto conocer muy profunda- 
mente el ámbito de ataque y la 
filosofía de los atacantes de modo 
de poder ayudar a las empresas 
respecto de su seguridad. 


Deberá crear medidas concretas ha- 
ciendo la infraestructura |T de las 
empresas menos vulnerables. 


En los últimos años ha aparecido el 
concepto de "ethical hacker". Este, 
es alguien, quien dotado de las 
mismas herramientas que el hacker 
las utiliza para testear (penetration 
testing- test de penetración) nuestra 
red. Su expertise es tal que realizan- 
do tal test puede darnos el panorama 
de cuáales son nuestras debilidades 
al poner nuestra empresa conectada 
en una intranet o a Internet. 


Nota: es muy importante saber que 
50% de los eventos de seguridad 
provienen de nuestras redes inter- 
nas. 


En esta tarea de "conocer" han a- 
parecido un gran número de libros, 
conferencias, eventos divulgando las 
técnicas de hacking buscando de 
mostrar cómo opera el enemigo. 


En cada artículo expuesto en NEX IT 


Specialist, daremos bibliografía, 
pero aquí queremos destacar la 
serie de libros cuyos autores 


pertenecen a una de las empresas 
más prestigiosas de Seguridad 
Informática (Foundstone Inc.: 
www.foundstone.com): www.hacking- 
exposed.com. Casi todos han sido 
traducidos al español y editados en 
McGraw  Hill/InterAmericana de 
España (lamentablemente las tra- 
ducciones son paupérrimas!!!. 
Excepto el de "Hackers en Linux"). 


Instituciones privadas y gubernamen- 
tales también le han dado marco a 
toda una serie de actividades educa- 
tivas y de divulgación. Destacamos 
el SANS Institute (www.sans.org), el 
1CS2 (www.ics2.com) creadora de la 
prestigiosa certificación CISSP. The 
International Council of Electronic 
Commerce Consultants (EC- 
Council) (http://www.eccouncil.org), 
The Institute for Security and 
Open Methodologies (ISECOM) 
www.isecom.org donde se definen es- 
tándares en tests de seguridad y 
testeo de la integridad de los negocios. 
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HACEMOS TRABAJOS EN TODO EL PAIS Y EN EL EXTERIOR 


ETHICAL HACKING 


Paso 1: Footprinting 


Recolección de información 
Autor: Juan Manuel Zolezzi 


La importancia del footprinting 
Una de las acciones más importantes a la hora de hackear un sistema (0 in- 
tentar) es obtener la máxima información disponible sobre él. En definitiva 
se trata de obtener las versiones de sus sistemas operativos, los puertos 
que tiene abiertos y toda información que nos pueda ser útil. 


Cuando un ladrón se dirige a 
un Banco con intenciones de 
robarlo, él no sólo camina al 
mostrador y dice "arriba las 
manos". Primero se toma su 
tiempo para recolectar la infor- 
mación necesaria para que su 
obra sea perfecta. Información 
sobre rutas de los autos blinda- 
dos, los tiempos de entrega, 
cámaras de video, salidas de 
escape y un sinfín de detalles 
que lo ayudarán a cometer el 
delito con éxito. 


Lo mismo sucede con los 


Visual Route proporciona 
información de las rutas y 
también la localización 
geográfica. E 
http://www.visualroute.com 
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hackers cuando se plantean 
hackear un sistema, primero 
comienzan con lo que se llama 
"systematic footprinting", que 
simplemente es obtener infor- 
mación relevante como para 
crear un perfil de la configu- 
ración de seguridad de dicho 
sistema, organización, etc. 


Cómo realizar el footprinting 


Resulta difícil dar una guía de 
cómo efectuar el footprinting (a 
veces llamado "actividades de 
rastreo"), ya que es una activi- 
dad que puede conducir a 
varios caminos posibles. Sin 
embargo, aquí esbozamos algunas 
acciones que muestran como se 


realiza dicho análisis. 
Determinar el alcance del análisis 


El primer punto a resolver es 
determinar el ámbito de las ac- 
tividades de rastreo. ¿Se va a 
analizar la estructura de toda 
una empresa o bien limitar a 
ciertas ubicaciones (por 
ejemplo, sedes o filiales)? En 
ciertos casos, la tarea de deter- 
minar todas las entidades aso- 
ciadas a una empresa puede 
ser un tanto complejo. Internet 
pone a nuestra disposición del 
hacker una gran cantidad de 
recursos que podrá utilizar y 
que le ayudarán a reducir el 
ámbito de sus actividades, así 
como también ideas sobre el 
tipo y cantidad de información 
pública de una empresa y sus 
empleados. 


Como punto de partida el 
hacker examinará la página 
web de la empresa objetivo, si 
es que tiene una. Muchas 
veces una página web de una 
empresa proporciona una can- 
tidad increíble de información 
que puede ayudar a los ata- 
cantes. Se ha llegado a ver 
incluso las opciones de confi- 
guración de seguridad de sus 
firewall en los servidores web 
de Internet de algunas empre- 
sas. Otros puntos de interés son: 


>>Ubicaciones 


>>Compañías o entidades rela- 
cionadas 


>>Noticias de fusiones O 


adquisiciones 
>>Números de teléfono 


>>Nombres de contacto y di- 
recciones de correo electrónico 


>>Directivas de seguridad o 
privacidad que indiquen los 
tipos de mecanismos de seguri- 
dad instalados 


>>Enlaces a otros servidores web 
relacionados con la empresa 


Ahora lo que hará es identificar 
nombres de dominio y redes 
asociadas relacionadas con la 
empresa en particular. Los 
nombres de dominio represen- 
tan la presencia de la compañía 
en Internet y son, en Internet, el 
equivalente al nombre de su 
compañía, por ejemplo, 
"nombre-empresa.com.ar". 


Existen numerosas bases de 
datos que podrá consultar y 
que proporcionan gran canti- 
dad de información sobre las 
distintas entidades cuyo rastro 
esté intentando seguir. Hasta 
hace un tiempo, la compañía 
Network Solutions tuvo el mo- 
nopolio como registro principal 
de los nombres de dominio: 
.com, .net, .edu y.org), pero en 
la actualidad existen  nu- 
merosos registros disponibles. 


Si dispone de un sistema ope- 
rativo tipo UNIX, podrá utilizar 
el comando "whois" o "xwhois". 
En Windows, utilizará progra- 
mas como "Netscan" o "Sam 
Spade". Estos programas o co- 
mandos muestran la informa- 
ción disponible sobre el 
dominio consultado. Con esto 
logramos obtener información 
sobre: 


>>El nombre del administrador 


>>Cuándo fue creado y actua- 
lizado el registro 


>>Los servidores DNS prima- 
rios y secundarios 


>>Los dominios asociados al 
de la empresa. »> 


Después de haber identificado todos los 
dominios asociados, comenzará a consul- 
tar los DNS. El DNS es una base de datos 


topología, así como sus rutas de acceso 
potenciales. 

Para esto, existe una herramienta llamada 
"traceroute" 


[bash]$ whois "empresa." Gwhois.crsnic.net 
[whois.crsnic.net] 
whois Server Versión 1.1 


Domain Names in the .com, .net, 


formation. 


empresa-travel.com 
empresa.net 
empresa.org 
empresas.com 


Con el comando whois, 
dominio a consultar, se 


and 
now be registered with many different competing regis-PEl 
trars. Go to http://ww.internic.net for detailed in- 


si ponemos un 


que nos per- 
mite seguir un 
paquete IP 
desde un host 
siguiente. 
Es decir, a- 
naliza la ruta que 
sigue un paquete 
dentro de una de- 
terminada red, y 
así permite detec- 
tar redes activas, 
filtrador de pa- 
quetes o firewalls. 


.Org domains can 


al final del 


listarán todos los dominios que comiencen con el nombre 


de la empresa. 


Es posible que en 
un entorno grá- 
fico, como el 
VisualRoute, que 


distribuida que se utiliza para transformar 
las direcciones IP en los nombres de host, 
y viceversa. Si un DNS está configurado 
de forma insegura, es posible obtener in- 
formación muy relevante sobre la 
empresa. El comando "nslookup" es la 
herramienta más popular para realizar 
dicha tarea. 


[bash]$ nslookup 

Default Server: dns2.acme.net 
Address: 10.10.20.2 

>> server 10.10.10.2 

Default Server: [10.10.10.2] 
Address: 10.10.10.2 


Acme.net. 


/tmp/zone_out 


Una vez identificadas las redes poten- 
ciales, podrá intentar determinar su 


no solo propor- 


ciona información de las rutas, sino 


que también la localización geo- 
gráfica. 
Existen infinidad de herramientas en 


Internet que facilitarán información o ayu- 
darán a encontrar lo buscado. En la si- 
guiente tabla enumeramos alguna de ellas 
con sus respectivas páginas web. 


Hemos visto las técnicas y herramien- 
tas de footprinting. Existen muchas 
contramedidas. Por ejemplo muchos 
programas y herramientas comer- 
ciales permiten la detección de intru- 
sos en la red (llamado Network 
Intrution Detection Systems) NIDS. 


=181x 


Quizás uno de los mejores es gra- 
tuito: SNORT (www.snort.org) de 
Marty Roesch al cual dedicaremos 
uno de nuestros 
artículos. 
Humble de 
Rhino9 ha desar- 
rollado un pro- 
grama llamado 
RotoRouter 
(http://packetstorm.security.com/UNIX 
lloggers/rr-1.0.tgz . Este le permitirá 
registrar las solicitudes del traceroute 
generando respuestas falsas. 


Siempre podrá configurar sus routers 
frontera limitando el tráfico ICMP y 
UDP. 


Sam Spade.. 


A2RIN database 

Cyberarmy 

Diogpile (meta search engine] 
DomTools (axtr] 

Ferretsoft 

Sam Spade 

securites and Exchange Commission 
(SEC] 

USENET Searching 


VisualRoute 
WHOIS database 
WS_ Ping Pack Pro 


hitos arin.nebfwbhojis' 

http hn cyberarmy com 

http fuera, dogpile, com 

http fuen, domtoo!s.corputidomtoo!s 1.4.0 tar, q 
hito usa ferretsoft com 

http www. samspade.org 

Hitbp Ane. SEC. QUÉ 

hito lfusna. deja, com 

http three. dogpile, com 
hitecifarna visualroute. com 

hito wena nebrorksolutons. com 
http wn ipswiteh.com 
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MEX. 


woody: “+ 


Starting 


woody 


run completed -- 


Majo 512 


aca ID 
LAOS 
MESS 
AS 
UA 
MAA 
SS 
AS 
AA 
TASA 
UO2AOSA 
OSA 
OZ TUGSE 


0 


0. 
0. 
0. 
0. 
0. 
0. 
0. 
0) 
0) 
0 
0) 


appears 
appears 
appears 
appears 
appears 
appears 
appears 


3014 0NAa 


o.) 
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ATA LASS 


Hemos visto que, aplicando la 
técnica de footprinting se 
puede obtener una lista de di- 
recciones |P correspondientes 
a hosts y redes usando los uti- 
litarios whois y nslookup. Estas 
herramientas nos permiten 
obtener información, entre 
otras cosas, sobre rangos de 
direcciones IP, servidores DNS 
y servidores de e-Mail. Con 
esta información en nuestro 
poder, ya es posible determinar 


LR ARSS ASA 


( _http://www.insecure.org/nmap/) 


to be 
to be 
to be 
to be 
to be 
to be 
to be 


up. 
up. 
ba. 
up. 
O. 
bro. 
¡bra 


.11 appears to be up. 
.21 appears to be up. 
.41 appears to be up. 
.51 appears to be up. 
.123 appears to be up. 
(1 IO 20) 
254 IP addresses(13 hosts up) 


appears to be up. 


qué sistemas están "vivos" (en- 
cendidos) y alcanzables desde 
internet utilizando una variedad 
de herramientas que incluyen 
ping sweeps (barridos de ping), 
port scans (escaneos de 
puertos), detección de 
Sistemas Operativos y auto- 
mated discovery (descubri- 
miento automatico). 


Uno de los pasos más impor- 
tantes en el trazado de un 
mapa esquemático de una red 
es realizar un barrido de ping 


Paso 2 : Scanning 


sobre rangos de direcciones IP 
y/o bloques de red para deter- 
minar cuales sistemas están 
"vivos". Este paso se realiza 
con herramientas que permiten 
hacer la misma tarea que el 
rudimentario ping, es decir 
enviar un ICMP Echo (Tipo 8) 
al posible destinatario y 
esperar obtener un ICMP 
Echo_Reply (tipo 0), determi- 
nando así que el posible desti- 
natario esta "vivo". 


Aunque existen muchas her- 
ramientas disponibles en el 
mercado, en este artículo nos 
concentraremos en el uso de 
nmap, una poderosísima her- 
ramienta desarrollada por 
Fyodor (http://www. insecure. 
org/nmap). En la Figura 1 
vemos la sintaxis para realizar 
un barrido de direcciones IP u- 
tilizando el protocolo ICMP. 


El modificador -s permite deter- 
minar el tipo de escaneo que 
se va a realizar (en la Figura 1, 
la P adicional indica a nmap 
que haga un ping scan); las di- 
recciones IP de los posibles 
destinatarios se pueden es- 
pecificar individualmente ó uti- 


woody: “+ 
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Host io. 
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lizando rangos en cualquiera 
de los octetos (como en la 
Figura 1), también se pueden 
especificar bloques de red 
(usando por ejemplo: 
192.168.0.0/24 ó 192.168.0 - 
12.0/25). Cuando se hace un 
barrido de direcciones IP uti- 
lizando el protocolo ICMP, hay 
que hacer todo lo posible por 
evitar las direcciones de broad- 
cast (difusión), debido a que 
estas direcciones tienden a 
producir DoS (Denial of 
Service-Negacion de Servicio). 


El primer problema que se 
puede presentar, al hacer un 
barrido de direcciones IP uti- 
lizando el protocolo ICMP, es 
que este protocolo esté blo- 
queado en un router o firewall 
en el borde de una DMZ (De- 
Militarized Zone - Zona 
DesMilitarizada). Aquí es nece- 
sario hacer un barrido de direc- 
ciones utilizando otro protocolo 
y/o evaluando ciertos puertos 
conocidos de los posibles des- 
tinatarios del barrido. En la 
Figura 2 vemos la sintaxis para 
realizar un barrido de direc- 
ciones IP sin utilizar el protoco- 
lo ICMP. 


El modificador -s permite deter- 
minar el tipo de escaneo que se 
va a realizar (en la Figura 2, la 
P adicional indica a nmap que 
haga un ping scan); pero el 
modificador  PT80 le dice a 
nmap que haga un TCP 


masa == 190 11,163.05 12254 


http: //www.insecure.org/nmap/) 


be 
be 
be 
be 
be 
be 
be 


up. 
up. 
up. 
up. 
up. 
up. 
up. 


me le 13, 
me le a. 
me le 3, 
to le a. 
appears 
254 IP addresses(12 hosts up) 


to be Up. 


probe scan. Así, utilizando el protocolo 
TCP sobre el puerto 80, se logra que el 
barrido supere un posible router y/o fire- 
wall debido a que muy probablemente el 
tráfico sobre el puerto 80 del protocolo 
TCP este permitido. 

Como se puede ver, esta técnica es muy 
efectiva para superar el escollo del 
bloqueo del tráfico ICMP. También vale la 
pena reintentar el mismo rango de direc- 
ciones utilizando diferentes puertos de 
protocolos conocidos, por ejemplo: FTP 
(21) SMTP (25), POP3 (110), RPCBIND 
(111), IMAP (143), MSRPC (135). 


El proceso de detección de un Ping 
Sweep es crucial para determinar si va a 
ocurrir un ataque, cuándo va a ocurrir y 
quién lo va a realizar. El principal 
método de detección de un Ping Sweep 
es utilizar un NIDS (Network-based 
Intrusion Detection System-Sistema de 
Detección de Intrusos basado en Read). 


Mientras que la detección de los Ping 
Sweeps es crítica, la prevención también 
hará una contribución substancial. 


Es recomendable que evalúe el tipo de 
tráfico ICMP que permite circular en su 
red. Recuerde que existen 18 (diecio- 
cho) tipos distintos de tráfico ICMP, Echo 
y Echo_Reply son sólo 2 (dos) de ellos. 


Hasta aquí hemos visto cómo se puede 
determinar que sistemas están "vivos", 
woody: “+ nmap -0 192.168.0.21 


Sinai] aca 3D 


Interes tina Apo nus moni 246 S 0 Zi 


(The 1643 ports scanned but not shown below are in state: 


PORT 
9/tcp 
13/ECcp 


STATE 
open 
open 


SERVICE 
discard 
daytime 


samba=swat 

unknown 

abyss 
DORSO SEACE 
general purpose 

A ZO 
Ios Le lO) => e A 


901/tcp open 
933/tcp open 
9999/tcp open 
MAC Address: 
Device type: 
Running: Linux 
OS details: 2.3 
Nmap run completed -- 1 IP address 
woody: "+ 


utilizando las técnicas de Ping Sweep Ó 
de TCP Probe Scanning. Habiendo 
recolectado esta información, ya es 
posible hacer un Port  Scanning 


PS 
20. Linus 2. dls =52.5.1. 


(Escaneo de Puertos) sobre cada 
equipo/sistema individual. Port Scanning 
consiste en establecer conexiones TCP 
y UDP a un equipo de destino (una 
posible "víctima") para establecer qué 
servicios están en ejecución o en estado 
Listening (escuchando). Los servicios 
activos que estén escuchando pueden 
permitir el acceso no autor- 

izado a usuarios no desead- 

os. Estos usuarios podrían 

lograr acceso a servidores 

que están mal configurados o 

que tienen instaladas ver- 

siones de aplicaciones que 

tienen vulnerabilidades conocidas. 


Existen varios tipos de escaneo de 
puertos, dando una perspectiva distinta de 
cómo detectar servicios y/o aplicaciones. 


Asimismo, los diferentes tecnicismos de 
cada uno de ellos permitirá hacer los esca- 
neos con un mayor o menor grado de 
sigilo. 


>>TCP connect scan: este tipo de scan 
se conecta al puerto de destino haciendo 
un Three-Way Handshake completo. 
(Pasos 1, 2 y 3 de la Figura A de la pastilla) 


>>TCP SYN scan: esta técnica es conoci- 
da también como "half-open scanning", 
debido a que solamente se envia un 
paquete con el flag SYN a la "víctima", si 
ésta responde con un flag SYN/ACK el 
puerto está escuchando, si responde con 
un flag RST/ACK el puerto está cerrado. 
Para evitar el Three-Way Handshaking, se 


( http: //www.insecure.org/nmap/ ) 


closed) 


(Netronix) 


(x86) 


(1 host up) 


envía un paquete con el flag RST/ACK, y 
así se logra que la "víctima" no registre 
una conexión. 
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>>TCP FYN scan: con esta técnica se 
envía un paquete con el flag FIN a la 
"víctima", y está debe responder un 
paquete con el flag RST para los puertos 
que estén cerrados. 


>>TCP Xmas Tree scan: con esta técnica 

se envía un paquete con los flags FIN, 

URG y PUSH a la "víctima", y ésta debe 
responder un paquete con el 
flag RST para los puertos 
que estén cerrados. 


>>TCP Null scan: con esta 

técnica se envía un paquete 
que tiene todos los flags apagados a la 
"víctima", y esta debe responder un 
paquete con el flag RST para los puertos 
que estén cerrados. 


>>UDP scan: con esta técnica se envía un 
paquete a un puerto específico de la 
"víctima", y ésta debe responder un 
paquete ICMP Port_Unreachable para los 
puertos que estén cerrados. Los únicos 
problemas de esta técnica son: su falta de 
fiabilidad y su baja performance. 


En la Figura 3 podemos ver a nmap ha- 
ciendo un TCP SYN scan sobre uno de los 
destinos "vivos" de la red. 


El modificador -s permite determinar el tipo 
de escaneo que se va a realizar (en la 
Figura 3, la S adicional indica a nmap que 
haga un TCP SYN scan); es posible es- 
pecificar el FADN de la "victima", pero es 
preferible usar su dirección IP. 


Las direcciones IP de los posibles 
destinatarios se pueden especificar 
individualmente ó utilizando rangos 
en cualquiera de los octetos (como en 
la Figuras 1 y 2, pero hay que hacer 
todo lo posible por evitar las direc- 
ciones de broadcast (difusión). 


Para los demás tipos de escaneo es 
necesario usar una T (TCP connect 
scan), F (TCP FIN scan), X (TCP 
Xmas Tree scan), N (TCP Null scan) ó 
U (UDP scan). 


Si agregamos el modificador V (resultando 
en -sSV) nmap tratará de informarnos de 
la versión de la aplicación y/o servicio que 
está escuchando en ese puerto. 


La cantidad de modificadores que tiene 
nmap y sus posibles combinaciones hacen 
imposible que lo mostremos en este 
artículo. 


Existen además otras herramientas 


disponibles, un ejemplo es la he- 
rramienta portqry de Microsoft. Es 
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gratuita y se puede buscar y bajar del 
Knowledge Base del sitio de Microsoft 
(www.microsoft.com). Otro ejemplo es 
netcat o nc, escrita por Hobbit, 
(http://www.atstake.com 
research/tools/network_utilities) que se ha 
ganado el apodo "TCP/IP Swiss Army 
Knife", ya que puede cumplir una gran 
variedad de funciones. 


Port Scanning - Contramedidas 


El principal método de detección de un 
Port Scanning es utilizar un HIDS (Host- 
based Intrusion Detection System-Sistema 
de Detección de Intrusos basado en 
Sistemas Individuales). También es 
posible utilizar un NIDS con su placa de 
red configurada en modo promiscuo. 

De la misma manera que la prevención 
ayudaba a evitar los Ping Sweeps, la correc- 
ta configuración y mantenimiento de los 
routers y/ó firewalls hará que sea más difícil 
que un intruso conozca los puertos/servi- 
cios/aplicaciones abiertos en los sistemas 
que se estén asegurando. 


Detección de SO 


Si prestamos atención a las respuestas que 
dio nmap al TCP SYN scan, podemos inter- 
pretar esos datos y deducir, siguiendo 
algunas premisas conocidas, que la máquina 
"víctima" tiene alguna clase de sistema oper- 
ativo Windows (debido a los puertos 135 y 
139 abiertos). Pero muchas veces, los 
puertos abiertos en un sistema no son fáciles 
de deducir y producen incertidumbre. Aquí 
entra en juego nuevamente nmap que nos 
permite mediante el modificador -O identificar 
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Figura 4 - Resultado de detección de SO con nmap 


de acuerdo al fingerprint del stack TCP cuál 
es el sistema operativo de la "víctima". 
Vemos en la Figuras 4 un ejemplo de detec- 
ción de sistema operativo. También 
existen otras herramientas 
disponibles para la detección de sis- 
temas operativos, un ejemplo muy 
conocido es QueSo. 

(QueSo www.apostols.org/projectz/). 
Es importante recordar que QueSo no es un 
Port Scanner, solamente hace detección de 
sistema operativo a través del puerto 
TCP:80. 


Detección de SO - Contramedidas 
Debido a que el proceso de detección de 
Sistema Operativo de una máquina 
"víctima" es esencialmente un análisis del 
fingerprint del stack TCP, las herramientas 
para evitar ésta técnica son las mismas 
que para evitar un Port Scanning: HIDSs y 
NIDSs. 


Existen herramien- 
tas muy completas 
diseñadas para en- 
globar varias fun- 
cionalidades en el s- 
canning. Menciona- 
remos dos: 

i) Cheops que 
engloba usando 
una interfaz 
gráfica a ping, 
traceroute, port s- 
canning, y scan- 
ning de  SOs. 


(http://www.marko.net /cheops/) . 

ii) Tkined (parte del paquete Scotty, 
(http://www.home.cs.utwente.nl 
I=schoenw/scotty/). 


Conclusión 


Hemos visto hasta aquí las principales her- 
ramientas y técnicas de scanning existentes, 
la información que es posible obtener y la u- 
tilidad de dicha información. 

Como postre a nuestro banquete de 
herramientas y técnicas, sólo queda 
nombrar una herramienta que permite 
hacer todas estas tareas en conjunto 
y desde una única interfaz: Nessus 
(www.nessus.org), una herramienta 
que consta de 2 partes, el Server está 
disponible sólo para plataformas Unix 
y/o Linux y el cliente está disponible 
para cualquier plataforma. El cliente 
funciona en modo gráfico. Á 


En toda comunicación TCP/IP, así como en la vida real, existen 2 (dos) interlocutores, de aquí en más llamaremos 
"cliente" al que inicia la comunicación y "servidor" a quien recibe y contesta la comunicación. 


Cuando un cliente necesita comunicarse con un servidor, lo hace con algún servicio que está en ejecución en ese servi- 
dor. Así el cliente no sólo debe conocer la dirección |P del servidor, sino que también debe conocer el puerto donde este 


servicio está "escuchando". 


1] Envía Solicitud de Sincronización [SYN] 

€  Á Á Mn 
2] Responde 4cordando la Sincronizacion [SYNACK] 

A M4 
3] Comienza el envió de paquetes con Payload (4.CK] 

€ kz I+>=>=—=—=—=—=>E“ 


Cliente 


= 


4] 
N-1) 
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Continúa el intercambio de paquetes con Papload (4.CK] 


 _—_ __ _—__—_———————=-=— 
N] Envía Solicitud de Fin de Comunicación [FIN] 

oo AAA 
N+1] Responde 4ceptando el Fin de Comunicación [FIN¿ACK] 

n _—————_— o ——————————Á 
N+2] Responde Notificando (4.CK] 

Koooc—_—_—_—á————= 


En todo paquete TCP/IP, en el header (encabeza- 


Servidor 


do) del paquete, están la dirección IP y puerto de 
origen, la dirección IP y puerto de destino y un 
flag (bandera de estado) que establece el tipo de 
paquete. El estado de este flag tiene como 
propósito establecer un three way handshaking 
(saludo de 3 vías) para luego dar paso a un inter- 
cambio 


fluido de paquetes. 


En la siguiente figura podemos ver un esquemáti- 
co de este proceso de Three-Way Handshaking. 
Claramente puede verse que el intercambio de 
paquetes para acordar la finalización de la comu- 
nicación responde al mismo criterio de Tree-Way 


Handshaking. 


NETIZEN ADSL 


BANDA 
ANCHA 


INSTALACION ANTISPAM GRATIS 
+ MODEM 


GRATI S' ANTIVIRUS 
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Paso 3: Enumeración 


Identificación de recursos 


La técnicas de enumeración serán específicas de cada 


sistema operativo. 


Si el hacker logró identificar su objetivo (footprinting y scanning), intentará identi- 
ficar recursos de red, cuentas de usuario y aplicaciones que brinden servicios. A 
esto se lo denomina “enumeración” y es el paso previo al hackeo. En este artículo 
veremos enumeración en detalle. 


Introducción 


Hemos visto las dos primeras 
acciones que realizará un 
hacker: "footprinting" y "scan- 
ning". Lo que habrá logrado es 
identificar su objetivo (su 
número IP, nombre de 
máquina, dominio de Internet al 


c:>> Microsoft Windows 2000 [Version 5.00.2195] 
(C) Copyright 1985-2000 Microsoft Corp. 


C:iW>nbtstat -A 192.168.0.22 


NetBIOS Remote Machine Name Table 


WORKGROUP 

WORKGROUP 

MAQ-81 

MAQ-81 
INet-Services 
IS-MAQ-81...... <0D0> 
ADMINISTRATOR <03> 


Status 


UNIQUE 
UNIQUE 
GROUP 
GROUP 
UNIQUE 
UNIQUE 
GROUP 
UNIQUE 
UNIQUE 


Registered 
Registered 
Registered 
Registered 
Registered 
Registered 
Registered 
Registered 
Registered 


MAC Address = 00-08-54-04-32-F6 


NBSTAT extrae el nombre 
NETBIOS de la máquina 
blanco, el dominio en el que 
se encuentra, cualquier 
usuario que haya iniciado 
una sesión , cualquier servi- 
cio que se encuentre en e- 
jecución . 
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Figura 1. Pedido de la tabla de nombres de un sistema remoto usando "nbtstat" 


cuál pertenece) y conocer los 
puertos que tiene "activos" y su 
sistema operativo. 


El paso siguiente, que des- 
cribiremos a continuación, se 
llama "enumeración". 


Enumerar significa identificar: 
>>Recursos de red 
(máquinas y dominios) y re- 
cursos compartidos 
>>Cuentas de usuarios 
>>Aplicaciones que estén 


brindando servicios. 
Existe una diferencia impor- 


tante entre "footprinting" y 
"scanning" y la enumeración. 
Esta es el grado de intrusión. 


Durante la enumeración 
haremos una conexión activa a 
los sistemas. Esto implica que 
estas intrusiones serán detec- 
tadas y quizás registradas 
(existirá un log (registro del 
evento) por la víctima. La infor- 
mación que se obtiene durante 
la enumeración no parecería 
representar gran peligro. Pero 
no es así. Conocer el UID 
(nombre de cuenta de los 
usuarios) o recursos compar- 
tidos o detalles de las aplica- 
ciones que están corriendo es 
de gran ayuda para los pasos 
que continúan durante el 
hackeo de una máquina. 


La técnicas de enumeración 
serán específicas de cada 
sistema operativo. Por ello, de- 
beríamos dividir este artículo 
en tres partes: Windows 
NT/2000-2003, Novell Netware 
y Unix. Por razones de espacio, 
nosotros nos concentraremos 
en Windows y sistemas Unix- 
like (UNIX, BSD-like y Linux). 


SNMP 


que es necesario comprender 
en cada uno de los sistemas 
operativos. 


Puertos activos 


Cada puerto "activo" detectado 
durante el "scanning" significa 
un servicio. El método de 
"banner grabbing" (establecer 
una conexión al puerto activo y 
obtener un mensaje respuesta) 
nos dá información sobre qué 
aplicación está escuchando en 
ese puerto y detalles de ella 
(por ejemplo su versión). Con 
esta información podremos 
decidir si existe alguna vulnera- 
bilidad asociada. 


Podríamos por tanto ir reco- 
rriendo los distintos puertos 
posibles (del 1 al 65535) e ir 
detallando qué herramientas 
Usar en cada caso y qué infor- 
mación obtendríamos. 


En el libro "Hackers Exposed" 
versión 4 (autores: Stuart 
McClure, Joel  Scambray, 
George Kurtz, McGraw-Hill 
Osborne Media; 4 edition 
(February 25, 2003)) que re- 
comendamos, se desarrolla el 
tema de enumeración de este 
modo y resulta muy instructivo. 
Aquí lo haremos de un modo 
más ortodoxo. Para cada SO, 
veremos qué herramientas son 
apropiadas para cada tipo de 


El nombre corto para "Simple Network Management Protocol", un 
conjunto de protocolos para manejar redes complejas. La primera 
versión de SNMP fue desarrollada a comienzos de los '80. SNMP 
trabaja mandando mensajes, llamados "unidades de datos de pro- 


tocolo" (protocol data units - PDUs) a diferentes partes de una red. 
"SNMP-compliant devices" (dispositivos SNMP-compatibles), lla- 
mados agentes, almacenan datos sobre ellos mismos en 
Management Information Bases (MIBs) y devuelven estos datos a 
los consultantes-SNMP (SNMP-requester). 


En este artículo de NEX IT 
Specialist, vamos a dar una in- 
troducción, un panorama 
global. Destacaremos algunos 
conceptos muy importantes 


enumeración posible. 


La Tabla 1 muestra los puertos 
más comunes a encontrar 


activos y las aplicaciones asociadas. 


Desde los tiempos de Windows NT los 
SOs Windows han permitido a los posibles 
atacantes obtener mucha información. 
Esto se ha debido, fundamentalmente a la 
utilización del protocolo NETBIOS y del 
CIFS/SMB, utilizados para la compartición 
de archivos. 


Dos grandes debilidades de los SOs 
Windows. 


CIFS/SMB y NETBIOS incluyen APls 
(Application Programming Interface) que 
permiten acceder a mucha información de 
nuestros sistemas. Particularmente sobre 
los puertos TCP y UDP 135 a 139 y 445. El 


Ci>enum -U -d -P -L -c 192.168.0.12 
server: 192.168.0.12 
setting up session... 
password policy: 
min length: none 
min age: none 
max age: 42 days 
Tockout threshold: 
Tockout duration: 30 mins 
Tlockout reset: 30 mins 
opening Isa policy... success. 
server role: 3 [primary (unknown) ] 
names: 
netbios: 
domain: 
quota: 
paged pool limit: 33554432 
non paged pool limit: 1048576 
min work set size: 65536 
max work set size: 251658240 
pagefile limit: 0 
time limit: O 
trusted domains: 
indeterminate 
netlogon done by a PDC server 


Success. 


none 


MAQ- FILESERVER 
WORKGROUP 


getting user list (pass 1, index 0). 


24. 
—vmware_user__ (VMware User) 
attributes: 


Administrator (Built-in account for administering 


the computer/domain) 
attributes: 
AFernandez (Profesora de Linux) 
attributes: 


ASPNET (Account used for running the ASP.NET worker 


process (aspnet_wp.exe)) 
attributes: no_passwd 
BPerez (Profesor Linux) 
attributes: 
Cecilia (Recepcion) 
attributes: 
Charlie (Gerencia General) 
attributes: 


ca 


modo de acceder a esos APIs es a través 


del llamado "Null Session" o "Anonymous 
Login". En esta colección encontrará un 
artículo detallado sobre esta debilidad y 
sus contramedidas 
para NT, W2K, XP y 
Windows 2003. 


Allí podrá ver ejempli- 
ficada una de las her- 
ramientas más popu- 
lares de enumeración 
de cuentas de usua- 
rios: enum.exe. 


Windows NT 3.1 y los 
SOs que siguieron 
fueron complementa- 
dos con una serie de 
herramientas  (soft- 
ware y  documen- 
tación) para ayudar a 
administrar las redes 


bajo SOs Windows. 


success, got 


Estas incluyen Perl 
(un poderoso lenguaje 
de scripting), y aplica- 
ciones equivalentes a 
otras del mundo UNIX 
junto con herramien- 
tas de administración 
remota (lea el artículo 
Windows Services for 
Unix (WSFU) en $412 
pag 39 de NEX IT 
Specialist). 


Es indispensable para 
cualquier adminis- 
trador tener esas he- 
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rramientas llamadas "Resource Kit": NTRK 
(NT Resource Kit) para Windows NT y 
W2RK para Windows 2000. Sumado a 
esto una cantidad de herramientas muy 
poderosas son incluidas en los CD de in- 
stalación en el directorio Support/Tools. 


Detallar todas las posibles enumeraciones 
posibles sería muy extenso. A conti- 
nuación se mencionan diferentes he- 
rramientas (resaltadas en negrita) que 
hemos ordenado dependiendo de qué de- 
seamos enumerar y que característica 
usemos (NETBIOS, SNMP, transferencia 
de zonas DNS). Seguido a esto, damos 
tres ejemplos (uno de cada tipo de enu- 
meración ) de modo de poder obtener una 
idea de qué significa enumerar. 


a) enumeración NETBIOS 
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| 


c:>> Microsoft Windows 2000 [Version 5.00.2195] 
(Cc) Copyright 1985-2000 Microsoft Corp. 


C:Wtelnet ww.itspecialist.com.ar 


HTTP/1.1 400 Bad Request 

Server: Microsoft-1IS/5.0 

Date: Wed, 29 Sep 2004 17:38:18 GMT 
Content-Type: text/html 
Content-Length: 87 


<html><head><title>Error</title></head> 


</html> 
Connection to host Tost. 


Figura 3. "Banner grabbing" 


>>De dominios y equipos en el dominio 
(netview) 

>>Nombres netbios de sistemas remotos 
(nbtstat, nbtscan) 

>>De Domain controlers (nltest) 
>>Recursos compartidos  (netview, 
dumpsec, legion). 

>>De servidores tipo ras (netviewx) 


b) SNMP (snmputil) 


c) Transferencia de Zona DNS (nslookup) 
DNS (Domain Name Service), 


Es la base de datos distribuida de 
nombres a números IP. Técnicamente, no 
es necesario utilizar nombres de host y 
dominios como  www.cortech.com.ar 
(nombre host www que pertenece al 
dominio cortech.com.ar). Es el número IP 
el que necesita el sistema para comuni- 
carse. DNS fue creado para poder usar 
nombre de dominios y de máquinas y no 
deber recordar los números IP. 
Cuando tipeo en mi web-browser: 
http://www.cortech.com.ar, un pedido sale 
hacia el servidor DNS que se ha definido 
de modo que éste me devuelva el IP aso- 
ciado. Con ese IP se envían los paquetes 
al servidor web correspondiente. 


2. Enumeración de usuarios/cuentas 
a) mediante CIFS/SMB 


>>nbtstat y nbtscan (no requiere null 
session) 

>>dumpsec 

>>sid2user, user2sid (ver artículo de 
Mark Russinovich en win2000mag.com 
artículo 43143) 

>>enum 

>>nete (escrita por Sir Dystic del grupo 
Cult of the Dead Cow) 


b) usando SNMP 
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nombre NETBIOS de la máquina blanco 
(MAQ-81), el dominio en el que se encuen- 
tra ( WORKGROUP), cualquier usuario 
que haya iniciado una sesión (ADMINIS- 
TRATOR), cualquier servicio que se en- 
cuentre en ejecución (INet-Services). 
Además nos da el MAC address de la 
máquina víctima. Notar que hay dos 
a) números entre corchetes a la derecha del 
>>telnet "name". Estos identifican los tipos de ser- 
>>netcat (escrita origi- vicios NETBIOS que corren en la máquina. 
nalmente por Hobbit 
(www.avian.org) es lla- 
mada la navaja suiza 
TCP/1P). Fue portado a 
Windows por Weld 
Pond cuando pertenecía al Security Group 


c) de AD usando cliente 
Idp.exe (está en 
Support/Tools) 


3. Enumeración de apli- 
caciones 


Ejemplo 2 Enumeracion de usuarios de 
cuentas 


"enum.exe" es una herramienta que 
unifica todas las funciones de 


de LOpht). Está considerada la segunda enumeración posibles de rea- 

herramienta de seguridad más importante lizar sobre NETBIOS. Fue 

después de nmap. Desarrollaremos un artícu- hecha por el equipo Razor de 

lo de esta colección) BindView y puede obtenerse en 
http://razor.bindview.com. 

b) 

Mediante obtención del contenido del En la figura 2, podemos observar la 


registry (regdmp) cantidad de información que podemos 


CIFS 


El Common Internet File Siystem (CIFS) es la manera más común en que los usuarios 
de computadoras comparten archivos a través de intranets (redes internas) e Internet. 
Es el protocolo por default en Windows 2000 para compartir archivos y es una extensión 
del protocolo SMB (Server Message Block). 


CIFS define una serie de comandos usados para pasar información entre computadoras 
en red. El "redirector" empaqueta consultas para computadoras remota en una estruc- 
tura CIFS. CIFS puede ser enviado mediante una red a dispositivos remotos. El "redi- 
rector" también usa CIFS para hacer consultas al stack del protocolo de la computadora 
local. Los mensajes CIFS pueden ser clasificados como: 


>>mensajes para establecer conexión: consisten en comandos que empiezan y termi- 
nan una conexión del "redirector' a un recurso compartido en el servidor. 
>>mensajes con manipulación de nombres y archivos son usados por el "redirector" 
para lograr el acceso a archivos en el servidor y para leerlos y escribirlos. 


>>mensajes a las impresoras son usados por el "redirector" para enviar información a 
una cola de impresión en el servidor y para obtener información sobre su estado. 


>> mensajes variados son usados por el "redirector" para escribir a "mailslots" y "named 
pipes". 


obtener cuando la dirigimos a una 
máquina víctima. Lista políticas de 
password, nombres NETBIOS y de 
dominio, usuarios de la máquina y 
mucha más información que depen- 
derá de qué opciones activemos. 


Ejemplos: 


Ejemplo 1.: Enumeración de los nombres 
NETBIOS de sistemas remotos 


"nbtstat" está incorporada dentro de los 
sistemas operativos Windows. Usada 
como se ejemplifica en la figura 1., nos 
permite obtener la tabla de nombres 
NETBIOS de un sistema remoto. En este 
caso la máquina con número IP 
192.168.0.22. 


Haciendo sólo "enum" obtenemos una 
lista de todas sus posibilidades. 


En esta colección de Ethical Hacking 
encontrará "enum.exe" mucho más 
detallado en el artículo por Carlos 
Vaughn O'Connor "Entendiendo Null 


Como podemos observar "nbstat" extrae el ' 
Sessions o Login anónimo". »> 


Ejemplo 3 Enumeración de aplicaciones 
mediante "banner grabbing" 


La Figura 3 nos muestra el "banner" 
que nos devuelve la máquina víctima 
al hacer telnet sobre un puerto que 
sabemos está activo. En este caso 
vemos que la aplicación es el web- 
server l1IS 5.0 de Microsoft (Internet 
Information Server 5.0). Si conocié- 
semos alguna vulnerabibilidad del 11S 
5.0 podríamos intentar aplicar un 
exploit sobre la misma. 


Enumeración de UNIX. 


Los sistemas operativos UNIX, basan 
todas sus funciones de red bajo 


Lista de puertos más comunes 
20 FTP data (File Transfer Protocol) 

21 FTP (File Transfer Protocol) 

22 SSH (Secure Shell) 

23 Telnet 

25 SMTP (Send Mail Transfer Protocol) 
43 whois 

53 DNS (Domain Name Service) 


68 DHCP (Dynamic Host Control Protocol) 


79 Finger 
80 HTTP (HyperText Transfer Protocol) 


110 POP3 (Post Office Protocol, version 3) 


115 SFTP (Secure File Transfer Protocol) 


119 NNTP (Network New Transfer Protocol) 


123 NTP (Network Time Protocol) 
137 NetBlOS-ns 

138 NetBlOS-dgm 

139 NetBIOS 


143 IMAP (Internet Message Access Protocol) 
161 SNMP (Simple Network Management Protocol) 


194 IRC (Internet Relay Chat) 


220 IMAP3 (Internet Message Access Protocol 3) 
389 LDAP (Lightweight Directory Access Protocol) 


443 SSL (Secure Socket Layer) 
445 SMB (NetBlOS over TCP) 
1433 Microsoft SQL Server 
1494 Citrix ICA Protocol 

1521 Oracle SQL 


1604 Citrix ICA / Microsoft Terminal Server 


2049 NFS (Network File System) 


5010 Yahoo! Messenger 
5190 AOL Instant Messenger 
5632 PCAnywhere 


6000 X Windowing System 

6699 Napster 

6776 SubSeven (Trojan - security risk!) 
7070 RealServer / QuickTime 


27010 Half-Life 


NIS 


El Network Information Service o NIS es un protocolo de servicio de directorio de 
"páginas amarillas" (YP, yellow pages) cliente-servidor. Fue desarrollado originalmente 
por Sun Microsystem para configuración de sistemas de distribución de datos como 
nombres de usuarios y "hostnames” entre computadoras en una red de computadoras. 
NIS/YP es usado para mantener un directorio central de usuarios, "hostnames"” y 
muchas otras cosas útiles en una red de computadoras. Por ejemplo, en un ambiente 
UNIX, la lista de usuarios (para autenticación) está situada en /etc/passwd. Usar NIS 
agrega otra lista de usuario global que es usada para autentificar usuarios en cualquier 
"host". 

Sun licencia esta tecnología para virtualmente todo otro "vendor" de Unix. 

Como "páginas amarillas" es una marca registrada en el Reino Unido, de British 
Telecommunications PLC para su directorio telefónico comercial (en papel), Sun cambió 
el nombre de su sistema a NIS, aunque todos sus comandos y funciones aún empiezan 


En ambientes modernos, servicios de directorio como Lightweight Directory Access 
Protocol (LDAP) y Kerberos han reemplazado a NIS. ya que son considerados más 
modernos y seguros que NIS. 


TCP/IP. Por tanto la infor- 
mación que proveen es más 
limitada que la que brinda 
NETBIOS en el caso 
Windows. Esto no significa 
que no existirá la posibili- 
dad de hacer  "enu- 


En los recuadros adjuntos detallamos 
someramente las técnicas de adminis- 
tración de redes usadas más comúnmente 
bajo UNIX: Remote Procedure Call (RPC), 
Network Information System (NIS) y 
Network File System (NFS). La utilización 
de LDAP como protocolo para Servicio de 
meración" bajo Unix. Sí que Directorio (Directory Service) abre también 
es conocido y predecible lo otro mecanismo posible de enumeración. 

que es posible obtener. » 


SMB 


Server Message Block - (SMB) Un protocolo cliente/servidor que provee 
compartición de archivos e impresoras entre computadoras. Además SMB 
puede compartir puertos y abstracciones de comunicaciones como "named 
pipes" y "mail slots". SMB es similar a "remote producer call" (RPC) pero e- 
specializado en acceso a sistemas de archivo. 


SMB fue desarrollado por Intel, Microsoft e IMB a comienzos de los '80. 
También tuvo influencia de Xerox y 3Com. Es el método nativo de comparti- 
ción de archivos e impresoras para sistemas de operación de Microsoft, 
donde es llamado Microsoft Networking. Windows for Workgroups. Windows 
95 y Windows NT todos incluyen clientes y servidores SMB. SMB es usado 
también por OS/2, Lan Manager y Banyan Vines. Hay servidores y clientes 
SMB para Unix, por ejemplo Samba y smbclient. 


SMB es un protocolo de la capa de presentación, estructurado como un gran 
conjunto de comandos (Server Message Blocks). Hay comandos para 
apoyar la compartición de archivos, la compartición de impresoras, la au- 
tenticación de usuarios, el "browsing" de recursos, y otras funciones va- 
riadas. Como muchos clientes y servidores pueden usar diferentes versiones 
("dialectos") del protocolo, negocian antes de empezar la sesión. 

El "redirector' empaqueta consultas SMB en una estructura de bloque de 
control (NCB) que puede ser enviada a través de la red a un dispositivo 
remoto. 


SMB originalmente funcionaba encima de los protocolos NetBEUl y 
NetBIOS, pero ahora funciona normalmente sobre TCP/IP. 


Microsoft desarrolló una versión extendida de SMB para Internet, el Common 
Internet File System (CIFS), que en muchos casos reemplaza a SMB. CIFS 
funciona sólo sobre TCP/IP. 
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de enumeración que permiten (re 


saltadas en negrita) y daremos un 


Al igual que en el caso de SOs 


. . ejemplo. 
Windows detallar todas las posibles 


herramientas de enumeración está 1.Enumeración € Ur 


>>showmount 


debian[root$]showmount -e 192.168.0.9 
export list for 192.168.0.9 

/pub 
/usr 


(everyone) 
user 
lectores 


/Tibros >> finger, rwho, rusers, telnet, tftp 


(trivial ftp) 


fuera de lo que haremos aquí. >> pcinfo, nmap 
Solo mencionaremos algunas por |/ “Remote Pr 


completitud agrupadas por el tipo 


>>snmpwalk 


Si hemos detectado que una máquina (con 
número IP 192.168.0.9) tiene el puerto 
activo 2049, significa que está compartien- 
do directorios bajo NFS. 


Usando el comando "showmount" con la 
opción -e como se muestra en la figura 4, 
obtendremos un listado de los recursos 
que comparte esa máquina. 

Este es el comportamiento normal de 
NFS. Solo deberemos asegurarnos de que 
los recursos que se comparten tengan los 
permisos correspondientes de lectura y 
escritura (read o write). 
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ETHICAL HACKING 


Paso 4: Hacking NT, 2K, 2003. 


Parte 1 de 2 


Los sistemas operativos Windows han sido el blanco 
preferido de las actividades de los hackers. Existen varias 
razones. En lo que sigue analizaremos el porqué de esto y 
mostraremos las metodologías y herramientas que se uti- 
lizan al momento de comprometer nuestros sistemas y 
redes. Esto nos enseña cómo defendernos. 


Indice 
PARTE 1 


1. Introducción 


2.Ataques NO autenticados 


A. Debilidades de SMB 
¡CES 


a) Password guessing 


b) Espiando en la red los 
passwords: LOphtcrack. 


B. Ataques sobre IIS 


PARTE 2 
3. Ataques autenticados 
a) Escalada de privilegios 


b) Sondeo y robo para dominar 
toda la empresa (pilfering) 


c) Control Remoto y Back 
Doors. 


d) Redireccionamiento de 
puertos 


e) Borrado de huellas 
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Ya hemos recorrido: 


Paso 1: Footprinting 
Paso 2: Scanning 
Paso 3: Enumeración 


Lo primero que debemos 
comprender es que cual- 
quier hacker buscará tener 
privilegio de Administrador 
o System. Una vez obte- 
nidos estos es el dueño ab- 
soluto. 


Poder acceder a una cuenta 
de usuario común sólo le 
sirve al hacker para luego 
realizar lo que se denomina 
"escalada de privilegios". 


Es decir, el target del 
hacker es tener los privile- 
gios de ADMINISTRADOR. 
Dueño absoluto, robará 
cuanta información encuen- 
tre y finalmente esconderá 
sus huellas. Si le interesase 
volver en un futuro, insta- 
lará los llamados backdoors 
o prepará todo para permi- 
tirle acceso remoto. 


En este artículo estudiare- 
mos las metodologías, las 
vulnerabilidades conocidas 
y las herramientas que se 
pueden utilizar para com- 
prometer sistemas y redes 
completas. 


A menos que ya conozca 
del tema, le recomendamos 
complementar con la lectura 
de los artículos relaciona- 
dos a cuentas de usuarios 
y passwords en Funda- 
mentos de seguridad 
Informática de esta colec- 
ción: "El gran debate pass 
phrases versus passwords", 
"Kerberos", "Entendiendo Null 


Sessions o Login anónimo", 
"Rainbowcrack : "la herramien- 
ta" para crackear los pass- 
words de los sistemas opera- 
tivos Windows" 


PARTE 1 


1. Introducción 


Los sistemas operativos 
Windows conforman gran parte 
de los sistemas de la mayoría 
de la redes en las empresas. 
Esta popularidad los ha hecho 
blanco de las actividades de 
hacking en los últimos años. 


Desde 1997 en que Hobbit 
publicó un artículo sobre las 
vulnerabilidades (ver nota en 
este artículo) en NETBIOS 
/CIFS/SMB y LM (los protoco- 
los sobre los que los sistemas 
Windows basan su conectivi- 
dad, compartición de archivos, 
y autenticación) el número de 
"exploits" ha sido muy grande. 


Microsoft ha sistemáticamente 
corregido las vulnerabilidades 
encontradas y los nuevos sis- 
temas operativos Windows han 
logrado una madurez, siempre 
que estén bien configurados. 


Mencionemos solamente las 
mejoras que Windows 2000 
12003 trajo sobre Windows NT: 
IPsec, EFS, Group Policies, 
Security Templates, RADIUS y 
autenticación Kerberos. 


Quizás uno de los factores que 
hacen más difícil resolver muchos 
problemas, es la necesaria compat- 
ibilidad con sistemas operativos lla- 
mados legacy (DOS/Windows 
1.x/3.x/9x/Me). 


Otro factor, viene pegado al 
hecho de ser muy fáciles de 
usar y contener muchas aplica- 
ciones. La simplificación en el 
uso del sistema operativo 
también hace sencillo el uso de 
herramientas para atacarlo. La 
gran cantidad de aplicaciones 
que trae por default amplía el 
número de posibles vulnerabili- 
dades a encontrar. 


Tanto en los medios como en la 
ficción se obtiene la idea de 
que la mayoría de los ataques 
son externos a las redes de las 
empresas. 


Esto no es así. La mayoría de 
los ataques son conducidos por 
gente dentro de la empresa y 
que tienen acceso a la red. 


Realizados los paso de foot- 
printing, scanning y enu- 
meración (que describimos en 
los pasos 1 a 3) el hacker 
pasará a intentar comprometer 
(hackear) el sistema (computa- 
dora) elegido. 


Para esto existen diferentes 
herramientas que automatizan 
la acción (algunas son comer- 
ciales y otras pueden bajarse 
de Internet). 


En este artículo, describiremos 
más las ideas básicas y 
algunas herramientas como e- 
jemplos de modo de poder en- 
tender el"big picture" de este 
tema. No daremos detalle de 
cada herramienta disponible 
(que son muchas). 


Aquel interesado las podrá en- 
contrar por ejemplo bien des- 
criptas en la 4ta edición de 
"Hackers Exposed" (Mc Graw 
Hill- Osborne, www.hackingex- 
posed.com) (si compra la 
versión en español le adverti- 
mos que la traducción es 


paupérrima). 
» 


El hacker, muy probablemente comprome- 
terá primero una máquina no muy crítica 
(por ejemplo usada como desktop) en la 
organización y una cuenta de un usuario 
común. Este será un ataque No autentica- 
do.y el primer escalón. El segundo, será 
hacer lo que se denomina "escalada de 
privilegios". Aquí realizará ya un ataque 
autenticado. Intentará obtener la cuenta 
ADMINISTRATOR de la máquina conquis- 
tada. Si logra esos privilegios muy proba- 
blemente, desde esa máquina, intentará 
proyectarse a servidores más importante 
(hará sondeos y robos en la red , en inglés 
"pilfering") hasta finalmente lograr hackear 
el total de la empresa. Dejará posibili- 
dades de acceder en forma remota y back 
doors para visitas futuras o redireccionará 
puertos. El muy experto, logrará borrar sus 
huellas de modo de que nadie advierta su 
conquista. 


GUESS en inglés significa "adivinar". 


Uno puede sentarse frente a una máquina 
y comenzar a adivinar UID (nombre de 
usuario) y su password. A menos que 
tengamos una suerte increíble este 
proceso es muy improbable de conducir al 
éxito. 

Pero, si el servicio NETBIOS session con 
su puerto TCP 139 están activos, podré 
ver recursos compartidos en la máquina 
victima desde otra máquina simplemente 
haciendo en Start->run 


1192.168.1.6UPC$ (recordar que IPC$, C$ 
o ADMIN$ por ejemplo son recursos com- 
partidos "hidden" casi siempre expuestos 
en Windows). 


Esto nos traerá la GUI siguiente: 


2 
Inconacl partword or urknoen uteners hor or | 
WE or troniderk 
Carcel 
Conmrunct As ] 
Passed | 


Allí podremos probar nuestra suerte nue- 
vamente tipeando. 


Por supuesto, este ejercicio se simplifi- 
caría si ya conociésemos el UID. Es decir 
nombres de cuentas de usuarios. 


En los paso a paso anteriores (en la enu- 
meración por ejemplo) hemos visto que 
gracias a las "null sessions" y mediante el 
comando de línea "net use" era posible 
obtener la lista de usuarios de la máquina. 
También existen herramientas completas 
para hacer esto. Netcat, DumpACL, 
DumpSec de Somarsoft Inc. y sid2user o 
user2sid de E. Rudnyi. Conocido el UID 
sólo queda adivinar la contraseña. 


Equivalente a lo anterior es usar el 
comando net use en el cmd prompt como 
se muestra en la figura 1 


Microsoft Windows 2000 [Version 5.00.2195] 
(C) Copyright 1985-2000 Microsoft Corp. 


CiX>net use M1192.168.7.181IPC$ * /user:Administrator 
Type the password for X1192.168.7.18IPC$: de 


Figura 1. 


¿Pero es posible automatizar 
este proceso de "adivinar" los passwords?. 
Sí, empleando el comando FOR en el 
comand prompt. 

Podemos generar un archivo con nombres 
de usuario s y contraseñas que pediremos 
desde el command prompt como muestra 
la figura 2. 

Lo que pedimos es que se analice el 
archivo uidpass.txt y extraer los primeros 2 
elementos de cada línea. El primero queda 
el %i y el segundo en %j. net use usará en- 
tonces las variables %i y %j 


archivo uipass.txt 


ted 
pepe 


usuariol 
usuario2 


EJES 


Auditing Tool), NTInfoScan. 
CyberCop Scanner de Network Associates 
Inc. que incluye la utilidad SMBGrind 


Si nuestra máquina no cumple funciones 
de file server y es un host de Internet lo 
más conveniente es bloquear el acceso a 
los puertos TCP y UDP 135-139 en el fire- 
wall o router de nuestra red. También de- 
sactivar WINS. 


También podremos setear una serie de ac- 
ciones relacionadas a los passwords. 
Bloqueo de 
cuentas 
después de un 
número fallido 
intentos, 
forzar políticas 
de passwords 
a nivel de empresa y exigidas a cada 
usuario de modo que cumplan ciertos req- 
uisitos. Por ejemplo, la figura 3 nos 
muestra la GUl donde se setean estos 
parámetros en W2K. 


Existen 2 herramientas passfilt y passprop 
que debemos discutir en este contexto: 


Passfilt: fuerza políticas de passwords 
fuertes. Viene instalado por default en 
W2K, pero no está habilitado. Si lo activa- 
mos servirá para exigir cierto nivel de 
passwords en la empresa. 


Passprop: Recordemos que la cuenta del 
administrador es lo más buscado por el 
hacker. Esta cuenta (RID 500) no se 


Microsoft Windows 2000 [Version 5.00.2195] 
(C) Copyright 1985-2000 Microsoft Corp. 


Cil>FOR /F "tokens=1,2*" %i in (uidpass.txt) 
do net use A1192.168.0.8IPC$ %i /u:%j 


C:Wnet use 11192.168.0.8IPC$ ted /u:usuariol 


System error 1219 has occurred. 


The credentials supplied conflict with an existing set of credentials. 


C:X>net use 11192.168.0.8IPC$ pepe /u:usuario2 


System error 1219 has occurred. 


The credentials supplied conflict with an existing set of credentials. 


Figura 2. 


Existen numerosos programas especiales 
que pueden realizar esta acción automatiza- 
da: 

De costo cero Legion y NAT (NetBlOS 


puede bloquear por defecto, de modo que 
un atacante podrá probar passwords en 
forma indefinida sin que la cuenta se 
bloquee. Passprop, es una herramienta 
que viene con el REsource Kit de los 
sistemas operativos Windows y nos 
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permite que se pueda realizar el bloque de 
ADMINISTRATOR. 


Auditoria y event logs. Los sistemas op- 
erativos Windows producen logs (reg- 
istros) de muchas acciones: Application 
logs, System logs, security logs. Además 
es posible activar auditorías. 


Simplemente habilitando las EXisten infinidad de 
auditorías no es suficiente. herramientas 
Internet que nos fa- 
intrusión. Cilitarán información 


Uno debe examinar regular- 
mente los logs buscando ev- 
idencias de 
Analizar los logs manual- 

mente puede ser muy tedioso. Pero, la her- 
ramienta Event Viewer nos permite filtrar 
por día, tipo, fuente, categoría, usuario, 
computadora y ID del evento. 


IDS (Intrusión Detection System) 
Sistema de Detección de Intrusos: Un 
sistema de detección de intrusos o IDS es 
una herramienta de software empleada 
para detectar el acceso no autorizado a un 
sistema de computación o a una red de 
computadoras. Nos dá la capacidad de 
alerta en tiempo real. Referimos al lector 
al artículo "IDS (Intrusión Detection 
System)" de esta colección. 


Identificación, Autenticación, Autorización y 
Responsabilidad (Accountability). 


Cuando un sujeto (entendido como un 
usuario, un programa o un proceso) desea 
acceder a un recurso, muchas veces se 
utiliza la palabra "autenticación", engloban- 
do cuatro procesos: 


en Identificación: describe el 
método de asegurarme que 
el sujeto existe en la base 
de datos de los sujetos que 
pueden acceder a los recur- 
sos. Esto se logra tipeando el UID o 
número de cuenta. 


Autenticación: el sujeto debe proveer un 
segundo elemento identificatorio. Puede 
ser su password, passphrase, llave crip- 
tográfica, un PIN (Personal Identification 
Number), atributo anatómico o un token. 
Estas dos piezas son comparadas con la 
información almacenada anteriormente en 
la base de datos sobre este sujeto. Si 
existe coincidencia el sujeto está identifica- 
do y autenticado. 


El sujeto ahora intentará acceder a algún 


$" Local Security Settings 


| action vew [| > |Om|B|2 


Local Setting 


Tree 


Security Settings 


(9 Public Key Policies 
48 1P Security Policies on 
Figura 3. 


b) ESPIANDO EN LA RED LOS PASS- 
WORDS: L0phtcrack 


Adivinar los passwords es tarea dificil. Casi 
diríamos imposible de hacer si el admin- 
istrador tomó recaudos en la elección de 
los passwords y hubo concientización del 
manejo de los mismas por parte de los 
usuarios. 

Pero hoy los usuarios y sistemas envían 
su autenticación a través de la red a los 
servidores. Un simple programa que 
sniffee (en inglés " to sniff" significa  ol- 
fatear y que se entiende como la acción 
de estudiar y reconocer los paquetes de la 
red) nuestra red nos dará información de 
los passwords. Pero, existe una her- 
ramienta que hace precisamente esto: 
LOphtcrack (LC). Entendamos entonces 
los mecanismos de autenticación de los 
sistemas operativos Windows, sus debili- 
dades y veamos qué hace LC. 
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(£2]Enforce password history 


O passwords remem... 


1-49 Account Policies (22 Maximum password age 42 days 
19 Password Policy (2) Minimum password age O days 

E L (39 Account Lockout F (£2] Minimum password length O characters 
1-08 Local Policies (R2] Passwords must meet complexity r... Disabled 


82] Store password using reversible e... Disabled 


recurso o realizar alguna acción. ¿Tiene 
asignado ese derecho o privilegio? (no 
todos los sujetos autenticados podrán re- 
alizar las mismas acciones ni acceder a los 
mismos recursos). El sistema buscará en 
algún tipo de lista, matriz o etiquetas de se- 
guridad que le dirán si está autorizado o 
no. Este proceso se llama la Autorización 
(por ejemplo: autorizado a leer informa- 
ción, escribirla, en qué horarios, etc.) 


Responsabilidad (Accountability): el 
sujeto deberá ser responsable de sus ac- 
ciones. En el sistema que él accede exis- 
tirán log files y medidas de monitoreo y au- 
ditoría donde se registrarán todas las ac- 
ciones que realice el sujeto. 


Instancias de autenticación. 
Existen muchas instancias en las que un 


usuario debe autenticarse en una red. 
Entre otras: 


1. un logon a la red de la empresa 

2. cuando accede remotamente a la red de 
la empresa (dial-up o mediante una VPN a 
través de Internet) 

3. Acceso a un web-server desde su web- 
browser en una intranet o desde internet. 
4. Acceso wireless a un access point. 
Cada uno de ellos tiene sus métodos y pro- 
tocolos de autenticación. 


Protocolos de autenticación de 
acceso a una red (caso 1. del 
párrafo anterior) bajo sistemas 
operativos Windows 


Los siguientes protocolos son soportados 
por Windows NT: LAN Manager (LM), 
NTLM, NTLMv2. Windows 2000-2003 y XP 
usan Kerberos v5 como el método de aut- 
enticación por default si utilizan Active 
Directory (AD). Ya que es muy posible que 
en nuestra infrestructura tengamos 
clientes "legacy" (Windows 95,98 etc) NT, 
Windows 2000/2003 y XP también sopor- 
tan las autenticaciones anteriores (LM, 
NTLM y NTLMv2). Hay que recordar que 
éstas son autenticaciones más débiles que 
Kerberos y por lo tanto mucho más sencil- 
las de comprometer. 

En cada una de estas metodologías varían 
la complejidad de los passwords permiti- 
dos, el modo de transmitir la información 
vía la red y dónde y cómo se almacenan 
las passwords. 


Passwords 


Las passwords de los usuarios componen 
uno de los riesgos más grande a la seguri- 
dad de las redes. Este riesgo incluye: la 
creación de las passwords, el modo en que 
los usuarios las protegen, cómo el sistema 
operativo las guarda y cómo las password 
son transmitidas a través de la red. 


El sistema operativo es el responsable de 
guardar y transmitir a través de la red las 
"credenciales" (nombre de usuario y pass- 
word) para las cuentas. 


Windows 2000/2003 y XP soportan una 
variedad de distintos protocolos para trans- 
mitir las credenciales. También existen una 
variedad de formas de guardar las creden- 
ciales. 


Historia de LOphtcrack 


Hace unos años The LOpht mostró la debil- 
idad de la autenticación LM de Windows. 
LOpht introdujo su programa de crackeo de 
passwords. Y, se transformó en el progra- 
ma más popular de password-craking del 
sistema operativo Windows.  LOphtcrack 
LC5 (ver atstake INC., www.atstake.com), es 
una herramienta administrativa muy res- 
petada y LM ha sido reemplazada por > 


NTLM, NTLMv2 y Kerberos v5. Pero, hoy 
LC5 ha sido superado por Rainbowcrack. 


LOphtcrack incluye una herramienta 
llamada SMB Packet Capture que nos 
elimina la necesidad de poseer el archivo 
dónde se hallan las passwords. Escucha 
en nuestra red local y captura las sesiones 
individuales de login entre máquinas que 
corren WINDOWS. Saca la información 
pertinente que le exporta al programa prin- 
cipal de LOphtcrack que se encargará de 
crackear el password. 

Recordemos que ahora el tiempo 
disponible es infinito y no se bloquean las 


En un artículo próximo veremos el detalle 
de cómo funciona LOphtcrack para hallar 
el password cuando en realidad el hash 
nunca cruza la red. Recordemos que LM y 
sus variantes usan una autenticación chal- 
lenge/response. 


En resumen, si puedo sniffear la red por un 
tiempo suficiente es casi seguro que puedo 
obtener la cuenta de ADMINISTRATOR en 
pocos días. 

Si tiene dudas de cómo se puede realizar 
esto en una red switcheada, la respuesta 
es "técnicas de ARP spoofing" que detal- 
laremos en otro artículo. 


La gente de LOpht ha incluso elaborado un 
sniffer que saca los passwords de 
WINDOWS de conexiones que usan el 
protocolo PPTP (Point to Point Tunneling 


Protocol) en VPNs. (ver http://packetstorm- 
security.com/sniffers/ppptp-sniff.tar.gz) 


Contramedidas: evitar que la autenticación 
LM ocurra. Lea un detalle de esto en el 
artículo: ""Rainbowcrack : "la herramienta" 
para crackear los passwords de los sis- 
temas operativos Windows" y Pass 
phrases vs passwords" en esta colección. 


Cuando salió W2K Microsoft 11S 5.0 se in- 
stalaba por default. El puerto 80 aparecía 
abierto y NO todos eran concientes de 
esto. La explotación por parte de los 
hacker de vulnerabibilidades utilizando el 
puerto 80 fueron devastadoras. Windows 
SERVER 2003 trae IIS 6.0 (una versión 
corregida) y además el ADMINISTRATOR 
deberá levantar IIS si así lo desea. 


En otro artículo de esta colección 
analizaremos en detalle WEB SERVER 
HACKING y WEB APPLICATION 
HACKING. 


Supongamos haber podido comprometer 
un Server W2K, conociendo el uid de un 
usuario sin privilegios y su passwords. 
Esto es un logro, pero nuestra objetivo es 
ser ADMINISTRATOR o que la cuenta 
tenga los privilegios (es decir pertenecer al 
grupo de Administradores) de 
Administrador. A partir de aquí los ataques 
son autenticados. 

El proceso de pasar de usuario común a 
tener privilegios de Administrador se llama 


AT-ES 


"escalada de privilegios". 


Ya obtenidos privilegios de administrador, 
lo que sigue es lo que llamanos un sondeo 
y robos para dominar toda la empresa (en 
inglés se lo conoce como "pilfering"). El 
paso que sigue será muy probablemente 


En el SO Windows Server uno encuentra 
varios "shares"(recursos para compartir) 
que fueron creados sin nuestra interven- 
ción. La mayoría de estos shares son 
"hidden" (ocultos) y se los nombra con $ al 
final. Ejemplos: C$.D$, ADMINS. 

Existe un "share" muy particular que 
debemos entender: IPC$. Es quizás, uno 
de los shares mas usados en comunica- 
ciones entre servidores. ¿Por ejemplo, 
cómo leemos los "event logs" en otra 
computadora?. Uno no mapea un "drive" 
sino los llamados "named pipes": un 
pedazo de la memoria que maneja la co- 
municación entre procesos ya sean 
locales o remotos 


utilizar herramientas para crear los llama- 
dos "backdoors" o herramientas de control 
remoto y rediraccionamiento de puertos. 
Es decir tener a disposición la red cuándo 
y cómo la desee. NETCAT (llamada la 
navaja suiza de las herramientas de se- 
guridad, se destaca entre todas y la 
veremos en detalle en un artículo especial 
bajo TOOLS. Al igual que un robo sofistica- 
do, el hacker intentará borrar sus huellas 
como paso final. Su acción ha sido devas- 
tadora. y 
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Paso 5: Alguien ha hackeado mí S.O. Windows 


Si nuestra máquina (sea una 
Workstation o server) corriendo un 
Sistema Operativo Windows ha sido 
comprometida (se dice también 
hackeada), muy probablemente 
estará muy lenta o tendrá una canti- 
dad de tráfico en su placa de red ¡- 
nusualmente grande. En general 
NO es fácil saber si nos han hackea- 
do y menos aún cómo ni quién. 


¿Qué hacer?, ¿Cómo abordar el 
problema? En este artículo le en- 
señamos dónde buscar los códigos 
maliciosos que el hacker ha instala- 
do. 

A continuación detallamos tres ac- 
ciones importantes a seguir. 

1. Detectar qué puertos tiene a- 
biertos nuestro sistema víctima y 
determinar cuáles pueden ser 
sospechosos. 


Microsoft Windows 2000 [Version 5.00.2195] 
(C) Copyright 1985-2000 Microsoft Corp. 


terminado momento se activa 
abriendo un puerto y muy posible- 
mente estableciendo una conexión 
con nuestro enemigo. 


Correr en command prompt: 
nestat -a 

que nos dice qué conexiones y 
puertos en escucha tiene nuestra 
máquina (la víctima). 


En la figura 1. vemos una lista de los 
puertos que aparecen abiertos en un 
servidor Windows 2000. Por 
supuesto, otros puertos pueden a- 
parecer abiertos dependiendo de los 
servicios que tengamos corriendo. 

Debemos saber, qué la salida que 
nos muestra netstat puede estar 
modificada por el mismo programa 
que nos hackea. Por eso, debemos 
correr en forma complementaria, 


C:Documents and SettingsXAdministrator>netstat -a 


Active Connections 


Proto 
TCP 
TCP 
TCP 
TCP 
TCP 
TCP 
TCP 
TCP 
TCP 
TCP 
TCP 
TCP 
TCP 
TCP 
TCP 
TCP 
TCP 


Local 
serverl: 
serverl: 
serverl: 
serverl: 
serverl: 
serverl: 
serverl: 
serverl: 
serverl: 
serverl: 
serverl: 
serverl: 
serverl: 
serverl: 
serverl: 
serverl: 
serverl: 


C:XDocuments and 


Figura 1 
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Address 


cor-81:0 
cor-81:0 
e) 
O) 
cor-81:0 
cor-81: 
cor-81: 
cor-81: 
cor-81: 
cor-81: 
cor-81: 
cor-81: 
cor-81: 
cor-81: 
cor-81: 
cor-81: 
cor-81: 


smtp 
http 
epmap 
https 
microsoft-ds 
1025 
1027 
1030 
1058 
1101 
1113 
1400 
3372 
3468 
4662 
6711 
6715 


000000000000 


SettingsXAdministrator> 


Recordemos que el hacker pudo 
haber instalado un "backdoor”, un 
"troyano" o un "Root Kit" que en de- 


Foreign Address 


State 
LISTENING 
LISTENING 
LISTENING 
LISTENING 

LISTENING 
LISTENING 
LISTENING 
LISTENING 
LISTENING 
LISTENING 
LISTENING 
LISTENING 
LISTENING 
LISTENING 
LISTENING 
LISTENING 
LISTENING 


desde otra máquina un scanner de 
puertos sobre la nuestra. La her- 
ramienta más popular es Network 
Mapper (nmap) de Fyodor ( puede 


ser bajada de www.insecure.org). 
Existen otras alternativas. Por 
ejemplo Microsoft sacó una nueva 
versión de portary (http://support.mi- 
crosoft.com/default. aspx?scid=kb;en 
-us;832919+2, ver tambien los 
artículos de Mark Minasi sobre el 
tema. 


2. Detectar posibles usuarios NO 
autorizados 


Es muy común que en un 
sistema hackeado aparezcan 
usuarios creados por el hacker. 
Normalmente con privilegios de 
administradores. Es muy prob- 
able que estén incluídos en 
grupos privilegiados. Ud en- 
contrará la lista de usuarios y 
grupos en "local users and 
groups" o si está en un entorno 
de Active Directory en "active 
Directory users and comput- 
ers". 

En ambos casos lo que 
debemos hacer es chequear 
los usuarios y los grupos tratan- 
do de identificar los NO autor- 
izados. 


3. ¿Dónde buscar el progra- 
ma hackeador de modo de 
detenerlo? 


Destaquemos que cada hack es 
Único. Pero existen ciertos "pattems" 
comunes a la mayoría de los casos. 


>>A. Registry Subkeys (Tipo run) 


Debemos revisar en las lla- 
madas "Registry subkeys". En 
particular en aquellas que 
hacen correr (run) programas. 
Cualquier programa que Ud.no 
reconozca es un enemigo po- 
tencial. Si sospecha vaya a 
google y haga una búsqueda 
sobre el nombre de ese progra- 
ma para ver que encuentra. 
Los lugares más comunes 
donde están alojados estos 
programas son: 


Ciwindows y 


C:Wwindowsisystem32 


Las Registry Subkeys a investigar son: 


HKEY_LOCAL_MACHINEISOFTWAREMicrosoftiWindowsCurrentVersioniRun 
HKEY_LOCAL_MACHINEISOFTWAREMicrosoftiWindowsCurrentVersioniRunOnce 
HKEY_LOCAL_MACHINEISOFTWAREWMicrosoftiWindowsCurrentVersioniRunServices 
HKEY_LOCAL_MACHINEISOFTWAREMicrosoftiWindowsCurrentVersionRunServicesOnce 
HKEY_CURRENT_USERISoftwareWlicrosoftWWVindowslCurrentVersioniRun 
HKEY_CURRENT_USERISoftwareWMlicrosoftWVindowsiCurrentVersioniRunOnce 
HKEY_CURRENT_USERISoftwareWMlicrosoftWWVindowsiCurrentVersioniRunServices 
HKEY_CURRENT_USERISoftwareWMicrosofWVindowsCurrentVersioniRunServicesOnce 


Estas llaves (validas desde Windows 9x a Windows Server 2003) instuyen a la máquina víctima a 
correr los programas. Vaya a: Start/run/ y ejecute regedt32.exe. En cada una de las registry subkeys 
antes detallada verá en el panel de la derecha los programas que se activan y donde se hallan ubicados. 


Para el caso particular de NT, W2K, XP y W2003 deberá además chequear la subkey: 
HKEY_LOCAL_MACHINEISOFTWAREMicrosoftiWindowsiCurrentVersionPolicieslExplorerrun 
Las siguientes subkeys son menos comunres paro también utilizadas por los hackers: 


HKEY_CLASSES_ROOTbatfilelshellopenicommand 
HKEY_CLASSES_ROO Tcomfilelshellopentcommand 
HKEY_CLASSES_ROO Texefilelshellopentcommand 
HKEY_CLASSES_ROO Ttafilelshellopenicommand 
HKEY_CLASSES_ ROOT piffilelshellopentcommand 
HKEY_LOCAL_MACHINE1SSOF TWAREClassesbatfilelshellopentcommand 
HKEY_LOCAL_MACHINE1ISOFTWARE Classesicomfilelshellopentcommand 
HKEY_LOCAL_MACHINEISOFTWARE Classestexefilelshellopentcommand 
HKEY_LOCAL_MACHINE1SSOFTWARE Classes htafilasshellopentcommand 
HKEY_LOCAL_MACHINE1SSOFTWARE Classespifilelshellopenicommand 


Si aparece otro valor que el por "default" (por defecto) : "%1"%*, sospeche que es un programa de hackeo. 
>>B. Registry subkeys de Servicios. 
HKEY_LOCAL_MACHINE1SSYSTEMNCurrentControlSefiServices 

Las entradas debajo de estas llaves especifican los servicios de su sistema. Uno puede 
ver los servicios mediante una herramienta grafica. Pero tenga en cuenta que algunos 
servicios (llamados Type 1.) no aparecerán. Ni tampoco algunos puestos por quien nos 


hackea. Lo más sensato es realizar una comparación con otra máquina con el mismo SO 
y que estemos seguros no está comprometida. 


¿Qué son Root Kits? 


>>C. Carpeta Startup 


Haga una revision de: 

CiDocuments and SettingsAll UsersiStart 
MenuWProgramsStartup 

CiDocuments and Settingsluser_namelStart 
MenuWProgramsStartup 

(tenga cuidado de tener las cosas configuradas de 
modo que le muestre los "hidden files" también). 


Chequee en: 
CWwindowsltasks 


>>E. Win.ini 


Algunos codigos maliciosos pueden estar 
ocultos en: C:WwindowsWwin.ini en la sección: 
[windows] 

Run= 

Load= 


>>F. System.ini 


Es posible que un hacker use comandos de shell 
buscando programas en: Cwindowsisystem.ini 
Busque en 

[boot] 

shell=explorer.exe<nombre del programa> 


Existen otros lugares utilizados por los hackers 
pero estos son los más comunes. 

Existe una herramienta de la empresa 
Sysintemals (Freeware) que nos indica qué pro- 
gramas se cargan al bootear nuestro sistema. 
(www.sysintemnals.com/ntw2k/freeware/autorun.s 
html). Muy recomendable (ver nota adjunta) 


Es importante resaltar que es casi imposi- 
ble limpiar completamente una computa- 
dora hackeada. La única forma de estar 
100% seguro de que una computadora 
esté limpia es formatear el disco rígido y 
reinstalar la máquina desde cero.!!! 


de 


Son programas silenciosos (stealth programms) que corren a nivel del SO. Abren puertos en la máquina comprometida de modo que 


un intruso puede hacer una conexión remota. 


Conforman una colección de herramientas que permiten a un hacker crear un backdoor a un sistema. Una vez instalado coleccionar 
información sobre otros sistemas en la red, capturar passwords y mtrafico en la red, esconder el hecho que el sistema está compro- 


metido, etc. 


¿Qué es un backdoor ? 


Un mecanismo oculto en software o hardware que puede ser activado de modo de permitir evitar mecanismos de protección a sis- 
temas. Proveerá en general, acceso con muchos privilegios o totales al sistema ya sea con una cuenta o desde una cuenta más re- 
stringida. Es activado, de un modo de apariencia inocente. Por ejemplo, una secuencia de llaves en una terminal. Otra alternativa 
podría ser enviando un paquete específico a un puerto determinado. Los desarrolladores de software muchas veces introducen 
backdoors en sus códigos de modo de permitirles entrar en el sistema y realizar ciertas funciones (a veces se llama “mantainence 
hook”, gancho de mantenimiento). Los backdoors son dejados muchas veces en sistemas de producción por diseño y pero a veces 


por accidente. Como sinónimo se utiliza “trapdoor”. 


¿Qué son Troyanos? 
Un Troyano (también llamado Trojan horse, caballo de Troya) es un programa (software) en el cuál código malicioso o dañino está 
contenido dentro de otro progre (en apariencia inofensivo). Cuando este programa se ejecuta, el Troyano realiza una serie de ac- 
ciones, normalmente realizando acciones de modo de poder persistir en el sistema víctima. Los Troyanos permiten además a los 
hackers a abrir “bacdoors” (puertas traseras) en nuestro sistema, dándoles acceso a los archivos y conectividad a nuestra red. 
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AUTORUNS una de las “SYSINTERNALS Tools” 
(UN FREEWARE INDISPENSABLE EN LA SEGURIDAD WINDOWS) 


Todo aquel que sea un profesional en IT conoce el nombre de Mark Russinovich. Mark es un editor y autor de la revista Windows IT 
Pro en US (www.windowsitpro.com) y Arquitecto de Software para la empresa “Winternals Software” Co-autor de libro “Windows in- 
ternals” de Microsoft Press y de muchas utilidades como Process Explorer, Filemon y Regmon (ver www.sysinternals.com) 


¿Qué es “AUTORUNS”? 


“Autoruns” es una utilidad que tiene el más completo conocimiento de donde están ubicadas los programas llamados auto-start. 
“Autoruns”, muestra qué programas están configurados para correr (run) durante el llamado boot-up del sistema (arranque) y poste- 
rior login de un usuario. Nos muestra las entradas en el orden en que Windows las procesa (en el Start-up del sistema y logon del 
usuario). Estos programas incluyen aquellos en la carpeta “startup”, Run, RunOnce y otras Registry Keys. Uno puede configurar 
Autoruns de modo de que nos muestre otras locaciones, incluyendo extensiones del shell de Explorer, toolbar (barras de tareas), los 
llamados “browser helper objects, notificaciones Winlogon, servicios auto-start y muchos más. Autoruns supera lejos la herramienta 
de Microsoft MSConfig que viene instalada en Windows Me, XP y Windows Server 2003. 


Posee una opción, “Hide Signed Microsoft Entries” (Esconda las entries firmadas por Microsoft) que nos permite concentrarnos sola- 
mente en las llamadas “auto-starting images” de terceros y que han sido agregadas a nuestro sistema posteriormente a la insta- 
lación. Tambien está incluído en el paquete que se puede descargar libremente de la web un equivalente que nos permite trabajar 
en línea de comandos y cuya salida está en formato CSV (autorunsc). 

La figura 1 nos muestra un screenshot del display de Autoruns.Su utilización es muy sencilla y puede llevar 2 minutos aprender su 
uso. Una opción interesante es dehabilitar un dado programa al Stara-up con sólo destildar el correspondiente casillero. En el 
proximo re-start de la máquina esa aplicación no corre más en forma automática y siempre puedo volver a activarla. 

Para remarcar: Autoruns nos indica el orden en que los programas son lanzados por el SO. Recordemos que los programas lanza- 
dos primero pueden ser sobre escritos por otros que comiencen a posteriori. 


Si nos interesa conocer detalle del entry, en el registry de la imagen correspondiente, la empresa que la creó o el path al archivo de 
la imagen, podemos hacer doble clic sobre ese entry. Si hacemos boton derecho, existe la opción “google” que buscará en internet 
información sobre la aplicación de nuestro interés. Esto es muy útil al momento de búsqueda de un posible hack en nuestro sistema. 
Muy probablemente, si lo corre, se sorprenderá de cuantos ejecutables se largan automáticamente!!. 

Autoruns corre en todas las versiones de Windows. 

Se descarga de www.sysinternals.com. 


2 Autoruns [COR-81' Administrator] - Sysinternals: www.sysinternals.com 
File Entry Yiew User Help 
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EF] Avg?alrt ¿WG Alert Manager [Not verified] GRISOFT., s.... c:Aprogre 
Fl] Avg7UpdSve ¿2WG Update Service [Not verified] GRISOFT., s.... c:Aprogre 
F] GEAR Security CD access and burning support. [Not verified] GEAR Softw... cwinnt 
E PAYAGENTE Panda 4dminSecure Y communication service [Not verified] Panda Softw... c:Aprogre 
E PavátScheduler Panda 4dminSecure Scheduler [Not verified] Panda Softw... c:Aprogr 
Y PAvSsRv On-áccess Antivirus Scanner Service. [Not verified] Panda Softw... c:4winnt 
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CONECTIVIDAD, 


el punto de partida para que SU NEGOCIO CREZCA. 

Windows XP le da el mayor poder de conexión, lo que significa mayor crecimiento para su py Microsoft 

empresa. Porque tiene la posibilidad de compartir aplicaciones, ubicar clientes y Windows*? 
proveedores de la forma más rápida, transfenr archivos en lempo real, ver personas o a S 

productos via webcam, optimizar su red de contactos, y disponer de asistencia técnica y Professional 

remota sin moverse de su lugar de trabajo, También, puede acceder a la PC de su oficina 
desde cualquier equipo en cualquier parte del mundo y hacer presentaciones a distancia. 


Windows XP, conéctese al crecimiento. 


«Conozca más sobre Windows XP ingresando a LUPA A A AS o lamando al (011) 4316-4600. 


Adquiri tu Windows XP en: Cronon Tecnología S.R.L. - Av, Ingeniero Huergo 1437 Po 1* H - Capital Federal - 4300-4500 / Softmanía Computación $,M. - Suárez 1400 - Capital Federa! - 4301-2458 / Gama 
Informática S.R.L. - Ay. ing Huergo 1437 Piso 1* C - Capital Federal - 4307-8884 / Quality Work S.A. - Florin 939 Piso 4* G - Capital Federal - 4312-6702 / Damacomp S.A. - Sarmiento 412 Piso 2* Of, 204 - 
Capital Federa! - 4328-3759 / Inatee S.A. - Chacabuco 431 - Capital Fodera! - 4331-0700 / L. P. Escobar Hnos. S.A, - Av. Julio A. Roca 576 - Capital Foderni - 4342.3%02 / Phonemark S.R.L. - Morono 1535 
Capital Federal - 4371-1028 / Wober y Asociados S.A.L. - ventesBwober com.ar Capital Federal 4381 7821 / Soluciones Modulares de Sistemas S.R.L. - A. Alsina 1433 Piso 10* A - Copitol Federal - 4384 0741 
/ Six Working S.R.L. - Av. Nazca 4411 - Capital Federal - 4571-1900 / Eny Key S.R.L. - Castillo 1366 - Capital Federal - 4771-4177 / Blostar Group S.R.L. - Bonplard 1448 - Capital Federal - 4777-6227 / Grupo 
Sis 5.R.L. - Alte, J, P, Sáenz Valiente 1175 - Capital Fodera! - 4787-1050 / Allylech S.A. - Juramento 2059 Piso 1* - Captal Federal - 4787-9009 / Exod S.A. - Malpu 671 Pao 7” - Capital Fodera! - 4878-3963 / 
DAD Distribución Directa 5.A. (DOSA) - Av, Honorio Pueyrredón 928 Pino 1* Of. A - Capital Federal - 4982-1251 / Mips Informática - Cerrito 1216 Piso 4* A - Capral Federal - 50326479 / Solutionet S.A. 
Paraguay 776 Piso 6* - Capital Federa! - 5219-0595 / Digital Workdlow - Aw. Maipú 3103 Piso 6* F - Olivos - 4790-8008. 


ETHICAL HACKING 


Seguridad Wireless 


Quizás la fuente de riesgo más significativa en una red inalámbrica sea el hecho, que 
el medio sostén de las comunicaciones, ondas electromagnéticas en el aire, están 
disponibles para los intrusos, siendo equivalente a tener puertos Ethernet 


Por Leonel Becchio 


Introducción 


En 1999 el Standard 802.11b fue aprobado por 
la IEEE. Así nacen las WLANSs (Wireless LANs 
(Local Area Networks)). Las computadoras 
podían interconectarse en red con un buen 
ancho de banda sin tener que estar conectadas 
por cables. Surgió la posibilidad de conectar 
múltiples computadoras en el hogar compartien- 
do una conexión a Intemet común. O, juegos en 
red que podían realizarse sin necesidad de 
cables y conexiones costosas y complicadas. 
En la empresa la conectividad wireless y la a- 
parición de dispositivos más reducidos permitían 
estar en reuniones o seminarios y aún poder 
estar realizando tareas como si estuviesemos 
sentados en nuestro escritorio. Surgió una era 
de “elegancia” del trabajo en red donde con una 
laptop y desde cualquier lugar es posible 
acceder a los recursos informáticos de la 
empresa o Intenet. 

Pero que sucede con la seguridad y los riesgos 
de esta nueva tecnología wireless. (inalámbrica). 
Algunos de estos riesgos son similares a aquel- 
los en redes por cables. Algunos están magnifi- 
cados bajo una tecnología wireless. Algunos son 
nuevos. Quizás la fuente de riesgo más significa- 
tiva en una red inalámbrica sea el hecho, que el 
medio sostén de las comunicaciones, ondas 
electromagnéticas en el aire, están disponibles 
para los intrusos, siendo equivalente a tener 
puertos Ethernet disponibles a cualquiera, en 
nuestra vereda. 


Las comunicaciones inalámbricas son posibles 
gracias a las ondas electromagnéticas que 
pueden desplazarse a gran velocidad por el aire 
e incluso por el vacío. Estas ondas no son ni más 
ni menos que campos eléctricos y magnéticos 
que oscilan en cuadratura, es decir perpendicu- 
lares entre sí, a una frecuencia dada. Por fre- 
cuencia entendemos que lo hacen con cierta 
regularidad, una cierta cantidad de veces por 
segundo y siempre de la misma manera. Por 
ejemplo, si nos remitimos a una estación emisora 
de radio FM, ésta transmite a una cierta frecuen- 
cia, digamos 105.5 MHz (se lee Mega Hertz). Su 
antena transmite y la nuestra recibe campos 
electromagnéticos que oscilan a razón de ¡105,5 
millones de veces en un segundo! 


Este ejemplo es para que Ud. tenga una idea de 
lo que sucede en el aire. Pero resulta que las 
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redes inalámbricas que comunican datos tienen 
asignadas bandas de frecuencias diferentes a 
las de la radio comercial AM y FM. Estas últimas 
son licenciadas y las emisoras deben pagar por 
su uso. Las redes inalámbricas hogareñas o em- 
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presariales tienen asignadas la banda de mi- 
croondas, banda en la que operan, entre otras 
cosas, los hornos a microondas y algunos telé- 
fonos inalámbricos. Esta banda es de uso libre 
por lo que se desarrollaron diferentes técnicas 
para minimizar la interferencia de las redes con 
otros dispositivos que operan libremente en 
dicha banda. Dentro de esta gama de frecuen- 
cias una muy típica es la de 2,4 GHz (Giga Hertz) 
cuyos campos oscilan a razón de 2.400 millones 
de veces por 
segundo en 
todas las direc- 
ciones. 


Una red local i- 
nalámbrica o 
WLAN (del 
inglés, 
Wireless Local 
Area Network) 
tiene dos 
modos  posi- 
bles de comu- 
nicación entre 


los dispositivos: 

* ad hoc o de peer to peer (entre pares), donde 
un dispositivo se comunica directamente con 
otro de su misma especie sin la intervención de 
un dispositivo central (ver Figura 1). 


CLIENTE € 


* de infraestructura, donde la comunicación entre 
dispositivos se realiza a través de un equipo central 
concentrador de datos conocido como access point 
o punto de acceso que generalmente está conecta- 
do a una red cableada que hasta le permite acceso 
a Intemet o una red corporativa. (ver Figura 2). 


Figura 2. »> 


ACCESS POINT 


Las especificaciones para el armado de una 
WLAN fueron establecidas en 1999 por el IEEE 
(Instituto de Ingenieros Eléctricos y Electrónicos) 
bajo el estándar 802.11. Uno de los estándares 
utilizados hoy en día es el 802.11b que, entre 
tantas cosas, define una frecuencia de trabajo de 
2,4 GHz, una distancia operativa que ronda los 
100 metros y una tasa de transferencia de datos 
de 11 Mbps (mega bits por segundo). El están- 
dar IEEE 802.11 y sus variantes a, b, g, h son 
conocidos como Wi-Fi por Wireless Fidelity 
(Fidelidad inalámbrica). 

El modelo de infraestructura es el más utilizado a 
causa de que se implementa toda la seguridad 
en tomo al dispositivo central y ACCESS POINT. 
El estándar define 15 canales que pueden ser u- 
tilizados para realizar la comunicación. Cada 
placa de red ubicada en cada computadora 
rastrea cada uno de los 15 canales en busca de 
una WLAN. Tan pronto como los parámetros 
configurados en el cliente y en ACCESS POINT 
coincidan, éstos iniciarán la comunicación y la 
computadora cliente pasará a formar parte de la 
red. Los canales son rastreados por la placa de 
red y configurados en el ACCESS POINT. 
Algunos modelos sólo permiten el uso de 11 
canales únicamente. 


Seguridad 


Es muyy evidente que si las ondas electromag- 
néticas se propagan en todas las direcciones pu- 
diendo atravesar obstáculos como paredes, 
puertas y ventanas, la seguridad de nuestra 
empresa se verá seriamente comprometida. 


Actualmente la empresa inglesa BAE Systems 
se encuentra desarrollando una cobertura para 
paredes capaz de filtrar las frecuencias que 
utiliza Wi-Fi dejando pasar aquellas destinadas a 
radio y comunicaciones celulares. El material, 
una suerte de capa de cobre sobre un polímero 
llamado Kapton, posee el mismo tratamiento que 
los circuitos impresos y hasta ahora era utilizado 
en aviones de combate. El panel tendrá un 
espesor de 50 a 100 micrones (milésimas de 
milímetro) y podrá ser aplicado a la mayoría de 
las superficies incluso vidrio. Aunque aún no se 
encuentra a la venta, la compañía asegura que 
no costará caro y lo comercializará a través de 
sus subsidiarias. 


Ésta es una forma de evitar que el tráfico de 
nuestra empresa sea visto desde el exterior de la 
misma. Pero incluso existen otras técnicas que 
ayudan a que la información sea un poco más 
difícil sino imposible de ser accedida desde el ex- 
terior. Imagínese que cualquier persona podría 
estar interceptando información desde la calle 
con una simple notebook adaptada con Wi-Fi, 
tiempo y voluntad y estar robándole los datos de 
su clave bancaria mientras Ud. confía en que su 
sistema es ¿seguro?. A este tipo de “hacking se 
lo llama Wardriving. 


Medidas básicas de seguridad 


Existen una serie de medidas básicas a imple- 
mentar para lograr una red un poco más difícil de 


penetrar. A pesar de que no existe una red com- 
pletamente segura, lo que se trata de lograr es 
una red con la máxima seguridad posible. 


Service Set Identifier (SSID) 


Es un parámetro utilizado para diferenciar una 
red de otra. Inicialmente los ACCESS POINTS lo 
traen configurado por defecto según su marca 
comercial. Por ejemplo, todos los ACCESS 
POINTS Cisco vienen configurados como 
“Tsunami”. El hecho de no cambiar el SSID por 
defecto hace que la red sea mucho más fácil de 
detectar. Otro error muy común es asignarle 
nombres significativos como el nombre de la 
empresa o el departamento al que pertenece el 
ACCESS POINT o algún nombre igualmente 
adivinable. El SSID debería de ser creado con 
las mismas reglas para la creación de PASS- 
WORDS, es decir, poseer cierta cantidad de car- 
acteres como mínimo, incluir caracteres al- 
fanuméricos y simbólicos y no contener nombres 
fácilmente adivinables, etc. 


Por defecto el ACCESS POINT difunde el SSID 
varias veces por segundos. La ventaja de esto 
es que los usuarios autorizados encuentran con 
facilidad la red, pero también la encuentran aque- 
llos que no lo son. Este rasgo es lo que permite 
a las WLAN ser detectadas por la mayorías de 
los software de detección sin conocer su SSID. 
La forma en que los ACCESS POINTS dan a 
conocer el SSID es a través de la publicación al 
aire de información como si se tratara de una 
especie de faro o baliza por lo que dicha informa- 
ción se la conoce como tramas beacon (del 
inglés, baliza, faro). 


Figura 3. (Configuración del SSID y el modo de 
comunicación en el cliente wireless) 
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Si de seguridad de la información se trata, habit- 
Ualmente se llevan a cabo dos procesos o técni- 
cas que, en conjunto, minimizan el riesgo de 
ingreso ¡ilegal a una red. Los dos procesos son 
autenticación y encriptación. Autenticación se 
refiere al hecho de verificar la identidad del 
usuario para comprobar que se trata efectiva- 


mente de quién dice ser. Por encriptación se en- 
tiende que es el hecho de desmenuzar y dis- 
frazar la información para que su lectura resulte 
incomprensible a aquel que no es el destinatario 
del mensaje. 


Tipo de autenticación 


Antes de que cualquier otra comunicación se 
lleve a cabo entre un cliente wireless y un 
ACCESS POINT, ellos comienzan un diálogo. 
Este proceso se conoce como asociación. 
Posterior a esto existe una etapa de autenti- 
cación donde el cliente debe acreditarse frente al 
ACCESS POINT y éste debe asegurarse de que 
aquel es quién dice ser. Esto agrega una protec- 
ción extra frente al mero uso de SSID. La auten- 
ticación puede ser de dos tipos: 


* autenticación abierta. 
* autenticación de clave compartida. 


La más simple y por defecto es la autenticación 
abierta donde cualquiera puede iniciar una con- 
versación con el ACCESS POINT pues no 
provee seguridad alguna. Cuando se utiliza aut- 
enticación de clave compartida, el cliente le envía 
al ACCESS POINT una solicitud de asociación, 
acto seguido el ACCESS POINT le contesta en- 
viándole una cadena de texto de desafío que el 
cliente debe encriptar y devolver. Si el texto fue 
encriptado correctamente, al cliente se le permite 
comunicarse con el ACCESS POINT pudiendo 
pasar a la próxima etapa de seguridad. 


La debilidad de esta etapa reside en el envío por 
parte del ACCESS POINT de la cadena de texto 
en forma plana (sin 
encriptar). Si un ata- 
Cante conoce la 
cadena de texto 
plano y la cadena 
después de haber 
sido encriptada, 
puede fácilmente 
conocer la clave 
compartida. Como 
veremos a contin- 
uación, WEP y la 
autenticación de 
clave compartida u- 
tilizan la misma 
clave para encriptar, 
de esta manera 
queda comprometi- 
da la seguridad 
pues un atacante 
podría descifrar 
todo el tráfico a y desde el ACCESS POINT. 
Irónicamente conviene configurar el modo de au- 
tenticación como abierto y dejar que cualquiera 
acceda al ACCESS POINT, recayendo en otros 
métodos que manejen la seguridad. A pesar de 
que remover una etapa de seguridad pueda 
parecer contradictorio, esta capa en particular » 
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entorpece la seguridad más de lo que ayuda. 


Si nos remitimos a la etapa de en- 
criptación, existen diferentes técnicas, 
algunas del momento en que surgió el es- 
tándar y otras actuales. 


Wired Equivalent Privacy (WEP) 


WEP fue pensado para darle a una red 
wireless la seguridad que tienen las redes 
cableadas. El proceso de encriptación 
WEP requiere el uso de una clave estática 
de 40 bits introducida por el usuario. 


Como dicha clave será utilizada para des- 
encriptar el mensaje, es necesario que sea 
introducida en cada dispositivo de la red. 
Con dicha clave y un vector de inicial- 


ización (V |) de 24 bits se obtiene una 
nueva clave de 64 bits (40 + 24) mediante 
un algoritmo conocido como RC4. 


La información a transmitir se la combina 
con esta nueva clave bajo la operación 
lógica OR-Exclusive (XOR) obteniéndose 
paquetes totalmente encriptados. A esto se 
le concatena el VI (en texto claro) nueva- 
mente y se envía por ondas de radio toda 
esta trama. De esta manera, el dispositivo 
receptor recibe dicho V| y puede “mezclar- 
lo” con su clave estática y generar la clave 
de 64 bits para desencriptar el mensaje. El 
Vl es generado por el transmisor y puede 
cambiar con cada paquete transmitido, de 
modo que cada paquete nunca sea encrip- 
tado con la misma cifra. 

Figura 4. 


PROCESO DE ENCRIPTACIÓN 


CLAVE WEP ESTÁNDAR 64 BITS 


VECTOR DE 


INICIALIZACION 


24 BITS 
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CLAVE ESTATICA 
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OR EXCLUSIVE y 


INFORMACION A TRANSMITIR 


VECTOR DE 
INICIALIZACION 


24 BITS 
TEXTO CLARO 


(TEXTO SIN ENCRIPTAR) 


TEXTO ENCRIPTADO 


Información encriptada + VI enviado por radio 


Nota: La función OR Exclusive (XOR) da como 
resultado “1” siempre que sus variables sean 
diferentes, y da “0” cuando son iguales. 
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A pesar de poseer un mecanismo al 
parecer tan “cerrado”, WEP ha sido 
probado como poco eficiente pues su clave 
RC4 es poco segura. Las razones son 
varias, pero explicaremos sólo algunas de 
ellas. 


El primer ataque utiliza una vulnerabilidad 
detectada en la limitación numérica del 
vector de inicialización. A causa de sus 24 
bits de longitud, se pueden armar 
16.777.216 valores posibles (224). 
Mientras esto puede parecer mucho, tenga 
en cuenta que 16 millones de paquetes se 
transmiten en unas pocas horas en una 
red con mucho tráfico. Cada cierto tiempo 
el algoritmo genera el mismo vector de ini- 
cialización para ser reutilizado en la en- 
criptación, por lo que mediante una 
escucha pasiva del tráfico encriptado se 
puede determinar la clave WEP dada su 
reiterada secuencia. Tenga en cuenta 
además algo muy simple: el VI viaja en 
texto claro (sin encriptar). 


El segundo ataque se debe a la vulnerabil- 
idad del algoritmo RC4 con ciertos vec- 
tores de inicialización conocidos como 
débiles. Parece ser que ciertos números 
entre 0 y 16.777.215 no trabajan bien en el 
mecanismo de encriptación RC4. Cuando 
se los utiliza, los paquetes mal encriptados 
pueden ser analizados matemáticamente 
por funciones que revelan parte del código 
WEP. Capturando una gran cantidad de 
éstos, un atacante puede comprometer la 
seguridad de la red. 


Un tercer problema yace en torno a la ad- 
ministración de las claves. Si se decide 
usar WEP de acuerdo al estándar 802.11b, 
se debe programar la misma clave WEP en 
cada dispositivo cliente y ACCESS POINT. 
Si por alguna razón esta clave se encuen- 
tra comprometida (ya sea por empleados 
despedidos, porque alguien la comunicó 
por teléfono, o porque simplemente algún 
atacante pudo adivinarla) se deberá repro- 
gramar todo nuevamente en cada disposi- 
tivo. 


Esto no parece ser tan complicado si la 
WLAN consta de pocos dispositivos. En 
cambio si se trata de un campus universi- 
tario o de una gran empresa, el trabajo de 
cambiar las claves se convierte en una ter- 
rible pesadilla. Reiteramos además que la 
clave WEP es la misma clave que se utiliza 
para codificar el modo de autenticación por 
clave compartida, por lo que vulnerar ésta 
en la primera etapa significa que se encon- 
trará ya vulnerada en el proceso de en- 
criptación, no resultando conveniente la 
combinación clave compartida — WEP. 


» 
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idéntica a la clave estática WEP, la 
empresa Cisco introdujo la idea de que sea 
generada dinámicamente y que posea una 
vida corta. Esta característica no requiere 
una instalación extra pues es de muy fácil 
implementación. El administrador debe es- 
pecificar en el ACCESS POINT una canti- 
dad de tiempo, en segundos, y cada vez 
que se inicialice el contador dicho 
ACCESS POINT difundirá una nueva clave 
¡pero encriptándola con la vieja! Con 
estos parámetros no habrá el tiempo sufi- 
ciente para que un atacante pueda inter- 
ceptar una determinada cantidad de pa- 
quetes necesaria para corromper la clave. 
Este método representa sólo una parte del 


WEP de 128 
bits 


La empresa 
Lucent también 
fue pionera en 
el desarrollo de 
una clave WEP 
de 128 bits de- 
nominada 
WEP Plus. 
Esto incremen- 
ta de 40 bits a 
104 bits la 
clave a lo que 


)> ¡deta 
tM 
Authemticatica- E Open System O Ghared Key O WPA-PGx 
WEP: | Enabled ( 
WEP Encryption 120B4 4 


Voy Type. HEX ME 


Os abied 


kay! E 0000000000000000000000000 
pay? O 00000000000000000000000000 
kay3 O 00000000000000000000000000 


vaya O D0000000000000000000009000 


Figura 5. Access point. Configuración 
del canal de transmisión, SSID, tipo 
de autenticación, WEP. 


Más allá de lo básico. ¿Qué hay 
disponible para asegurar mi red ? 


Closed Network 


Uno de los primeros intentos por encauzar 
la inseguridad de las redes inalámbricas 
fue desarrollado por la empresa Lucent 
para su equipamiento. Habían desarrollado 
una “red cerrada” que difería de las redes 
estándar 802.11b en que los ACCESS 
POINTS no difundían periódicamente las 
tramas que componen el SSID (beacon) 
sino cada una cantidad prefijada de tiempo 
mayor que en las redes estándar. A pesar 
de que el SSID es todavía transmitido en el 
aire en texto plano (sin encriptar), el hecho 
de retransmitirlo cada una cantidad de 
tiempo mayor hace que sea más difícil en- 
contrar la red. Muchos de los clientes wire- 
less actuales permiten el ingreso manual 
del SSID, medida un poco más segura que 
el simple proceso automático de explo- 
ración. Si bien esta técnica no resulta per- 
suasiva frente a un ataque planificado, 
protege la red contra atacantes casuales. 


Figura 6. Access point. Configuración del 
tiempo de publicación del SSID (Beacon 
interval). 
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hay que su- 
marle los 24 
bits del vector 
de inicialización, resultando 128 bits 
totales. Esto llevaría muchísimo más 
tiempo determinar la clave mediante un 
ataque por fuerza bruta. Sin embargo 
todavía existen inconvenientes con el uso 
de 128 bits. Aunque se utilicen 128 bits 
(104 de clave + 24 de VI) en vez de 64 bits 
(40 de clave + 24 de VI), la longitud del 
vector de inicialización sigue siendo la 
misma, y ésta la causa de la vulnerabili- 
dad. Actualmente se encuentran 
disponibles claves de 192 bits y de 256 
bits. En la figura 4, en su parte inferior 
veíamos que se pueden ingresar hasta 4 
claves de 26 dígitos hexadecimales (104 
bits) cada una, pues se encuentra habilita- 
do el modo WEP de 128 bits. A eso, el 
mecanismo de encriptación WEP le adi- 
ciona el vector de inicialización de 24 bits, 
resultando los 128 bits totales. Se debe e- 
specificar en cada cliente wireless, cuál de 
las 4 claves deberá utilizar e ingresarla 
manualmente. 


Rotación de claves 


La rotación de la clave es otro método que 
ayuda contra los defectos en WEP. En la e- 
specificación 
802.11b existen 
dos claves WEP. 
Una es para en- 
criptar el flujo de 
¡datos entre el 
ACCESS POINT 
y los clientes 
wireless, la otra 
es para encriptar 
la difusión de 
mensajes de 
broadcast tales 
como DHCP o 
peticiones ARP. 
A causa de que 
esta clave es 


25, dela Ty 


Shwwd Key O WPAPSr 


ratios 


plan de seguridad. 
Redes privadas virtuales (VPN) 


Si bien las VPN han sido utilizadas desde 
1990 en redes cableadas para asegurar 
las comunicaciones entre usuarios 
remotos y sus redes corporativas a través 
de Internet, su funcionalidad puede ser 
adaptada a las WLAN. Esta técnica provee 
una especie de túnel donde los datos 
viajan totalmente encriptados desde un 
sitio hasta el otro. Generalmente el 
ACCESS POINT se ubica por detrás del 
gateway VPN, por lo que los datos viajan 
encriptados aún desde la PC al ACCESS 
POINT. 


Filtrado de direcciones MAC 


Otro método a tener en cuenta es el filtra- 
do de direcciones MAC. Toda placa de red 
posee un número de identificación que la 
hace única frente a cualquier otra placa del 
mundo. Éste consta de 48 bits expresados 
en forma hexadecimal divididos en dos 
grupos, 24 bits que identifican al fabricante 
y los 24 bits restantes que identifican al 
producto de dicho fabricante. A causa de 
que cada placa de red posee su dirección 
individual, se podría limitar el acceso hacia 
el ACCESS POINT a sólo aquellas direc- 
ciones MAC de dispositivos autorizados y 
bloquear el resto. 


El primer inconveniente reside en la admin- 
istración de direcciones. El administrador de 
la red debe mantener una suerte de base de 
datos de cada dispositivo permitido. Esta 
base de datos debe ser mantenida en cada 
ACCESS POINT individualmente o en un 
servidor RADIUS al que cada ACCESS 
POINT tenga acceso. Cada vez que se 
agregue o remueva un dispositivo, el admin- 
istrador debe actualizar dicha base de datos. 
Hacer esto en una red pequeña es un trabajo 
poco tedioso pero hacerlo en una donde la canti- 
dad de dispositivos ascienda a más de cien o 
incluso más de mil no es una solución práctica 
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Sin embargo el filtrado de direcciones MAC 
es fácil vencerlo si se tienen las herramientas 
correctas. Utilizando un software de sniffing, 
un atacante puede monitorear el tráfico que 
circula por la red y fácilmente escoger del aire 
las direcciones MAC de usuarios autorizados 
y validarse como tales enviando tramas idén- 
ticas a las robadas. Reiteramos que para 
redes pequeñas, el filtrado de direcciones 
MAC se presenta como una alternativa viable 
mientras que para redes grandes no justifica 
semejante administración. 
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Figura 7. Access point. Configuración del 
filtrado de direcciones MAC. 


Se puede combinar el filtrado MAC con el 
filtrado de direcciones IP basado en la 
creación de listas de acceso, especifican- 
do qué direcciones y qué puertos asocia- 
dos tendrán autorización de ingreso. 
Incluso ciertos modelos poseen filtros de 
determinados sitios web. Todo esto es ac- 
tualmente de fácil implementación pues los 
ACCESS POINT actuales poseen fun- 
ciones de firewall incorporado. 


Actuales técnicas de seguridad 


Los problemas descriptos en lo referente a 
WEP han dado posibilidad al surgimiento 
de diversas técnicas de encriptación, 
algunas de finales del año 2003, con lo 
cual algunos equipos anteriores deberán 
ser reemplazados para aprovechar todos 
los beneficios de las nuevas técnicas. 
Algunos ya están preparados de fábrica y 
sólo será necesario una actualización de 
su software. WEP planteaba una única 
clave estática que el administrador debía 
cambiar, pues no lo hace por sí sola. 
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802.1X 


(ver www.wi-fiplanet.comítutorials 
larticle.php /1041171) 


Si bien este estándar nació para las redes 
cableadas, pronto fue adoptado por la in- 
dustria de las WLAN y su uso se masificó. 
802.1X utiliza el Protocolo de Autenticación 
Extensible (EAP) y un servidor RADIUS 
para autenticar usuarios y distribuir las 
claves. Esta opción es más bien empresar- 
ial y no hogareña 
aunque nada 
impide que 
dispongamos de 
un servidor 
RADIUS en 
nuestro hogar o 
pequeña oficina. 
Nota: RADIUS 
(Remote 
Authentication 
Dial-In User 
Service) es un 
servidor destina- 
do a la autenti- 
cación y acred- 
itación de usuar- 
ios que se 
conectan a una 
red. Su origen 
reside en los 
proveedores de Internet. Cuando nos 
conectamos a uno de ellos, debemos in- 
gresar nuestro 
nombre D-Link 
usuario y  con- 
traseña, el servi- 
dor contrasta 
dicha información 
con la que posee 
de antemano y si 
coinciden, lo- 
graremos conec- 
tarnos. 


[Quer] 


0300 


Asthertic bon 


nuevas claves de encriptación sean gener- 
adas y distribuidas frecuentemente. Esto 
se conoce como distribución de “clave d- 
inámica”, un elemento esencial para 
obtener una buena solución de seguridad. 
Al expirar rápidamente el tiempo de uso de 
una clave, dado su constante cambio, hace 
que los atacantes tengan menos tiempo 
para recoger datos y deducir la clave. 
Existen actualmente una cantidad de vari- 
antes de EAP las cuales se encuentran en 
estudio para su probable incorporación 
dentro del estándar. 


WPA 


WPA, contracción de Wi-Fi Protected Access, es 
un estándar Wi-Fi diseñado para mejorar la en- 
criptación de WEP. Fue contemplado como una 
solución de seguridad que no requiera de hard- 
ware adicional sino que presente como una solu- 
ción actualizable vía software. Diseñado para 
contemplar las funcionalidades de 802.1X y EAP, 
pero agregándole mejoras como ser un nuevo 
esquema de encriptación y de distribución de 
claves, WPA utiliza un protocolo de integridad de 
clave temporal TKIP (Temporal Key Integrity 
Protocol) que produce una clave temporal de 
128 bits para encriptar los datos. 

Otros estándares como AES utilizan algoritmos 
matemáticos similares pero que no son comple- 
tamente compatibles con los dispositivos certif- 
cados, por lo que habría que adquirir nuevo hard- 
ware. (Figuras 8 y 9). 
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WEP regula el 
acceso a la red a 
través de direc- 
ciones MAC, 
mientras que EAP 
provee una  in- 
fraestructura que permite a los usuarios 
autenticarse frente a un servidor central 
basado en claves públicas. El servidor le 
pide al ACCESS POINT una prueba de ¡- 
dentidad la cual obtiene del usuario, acto 
seguido el ACCESS POINT se la envía al 
servidor. Cuando el servidor prueba la i- 
dentidad del cliente, envía a éste y al 
ACCESS POINT la clave, cerrando una 
relación de confianza entre ambos. 


Éstas técnicas aseguran también que las 


Figura 8. Access point. Configuración del modo 
WPA 


Conclusiones 
Si bien la seguridad al 100% no 
existe, todas las medidas que 


tomemos ayudarán a minimizar los 
riesgos. A continuación brindaremos 
una serie de consejos prácticos gen- 
erales que pueden ajustarse a la 
mayoría de los casos. »> 


De ser posible, debemos colocar nuestra WLAN 
detrás de un FIREWALL si el ACCESS POINT no incorpo- 
ra funciones de tal. 


Debemos escoger un SSID que no sea fácil de 
adivinar por el atacante, nombres largos con caracteres al- 
fanuméricos y simbólicos alternados y, por supuesto, 
siempre en nuestra memoria, nunca anotado en un papeli- 
to colgado del ACCESS POINT. 


Debemos habilitar WEP si no tenemos una opción 
de mayor seguridad como WPA. 
Muchos ACCESS POINT requieren por defecto que el 
modo de autenticación sea por clave compartida si se ha- 
bilita WEP. 


Debe colocar su red en “modo cerrado”, es decir 
asignando un tiempo grande a la emisión del SSID por 
parte del ACCESS POINT. 
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Figura 9. Cliente. Configuración del modo WP. 


USas IMtremer Orause 


EJES 
Si elige WEP y su dispositivo lo permite, elija claves de 


la mayor cantidad de dígitos posible. Establezca filtrado MAC e 
IP si es posible. 


Si opta por WPA, recuerde que el modo de autenticación 
está basado en un servidor central al que el ACCESS POINT 
tiene acceso (servidor RADIUS), de nada sirve filtrar direcciones 
MAC localmente. 


Si bien hemos hecho uso de adaptadores de red y ACCESS 
POINTs de empresas en particular, las configuraciones pueden 
ser igualmente hechas en forma similar en dispositivos de otras 
marcas y / o modelos. 
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ETHICAL HACKING 


Wireless Hacking 


Existen en la actualidad una serie de técnicas que derivan de una misma base y 
que son diferentes medios de transporte desde los cuales se intentan interceptar 
datos en una red inalámbrica. Generalmente las técnicas apuntan a investigar un 
área en busca de redes wireless. 


Por Leonel Becchio 


Cada vez más debe evaluarse lo crítico 
que puede resultar tener un sistema in- 
alámbrico dentro de una empresa y que no 
se encuentre debidamente protegido. 
Como ya hemos visto, un descuido a la 
hora de configurar un access point puede 
poner en evidencia información sensible 
desde el exterior o aún interior (que es lo 
más terrible) de la empresa. Hemos visto 
una opción tal vez poco económica que 
constaba en cubrir una sala con un film 
que evitaba que las radiaciones sean cap- 
tadas desde el exterior. No estamos 
exentos de padecer ataques ya sea por 
venganza, diversión u otras causas, siendo 
los ataques internos los que suceden en 
mayor medida frente a los externos, sobre 
todo por empleados deshonestos que, mo- 
tivados por el desinterés en su trabajo, in- 
tentan atacar la empresa donde desarro- 
llan su labor. Hoy es muy simple pues 
existe una gran cantidad de opciones para 
hacerlo. Por tal motivo debe tomar una 
serie de recaudos a la hora de pensar en 
seguridad. Debemos aclarar que las técni- 
cas de hacking forman parte del proce- 
dimiento para realizar un test de intrusión, 
las que veremos a continuación son un 
conjunto de posibilidades para desarrollar 
un test de intrusión externo. No es ¡legal 
practicarlas si el fin que se pretende alcan- 
zar es la mera prueba de acceso para re- 
forzar la seguridad de nuestra red. Recae 
en el lector la responsabilidad por todo uso 
diferente al explicado en el presente artícu- 
lo. 


Técnicas de Wireless Hacking 


Existen en la actualidad una serie de técni- 
cas que derivan de una misma base y que 
son diferentes medios de transporte desde 
los cuales se intentan interceptar datos en 
una red inalámbrica. Generalmente las téc- 
nicas apuntan a investigar un área en 
busca de redes wireless. 


War Walking 


El término war, guerra en inglés, fue utiliza- 
do por primera vez en la película War 
Games (juegos de guerra) en la cual unos 
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jóvenes utilizaban una técnica conocida 
como War Calling para escanear, módem 
mediante, líneas telefónicas para poder 
atacar alguna si el módem lograba conec- 
tarlos. El término “guerra” está inspirado en 
ataque, aunque muchas veces solamos u- 
tilizar las técnicas de hacking para evaluar 
cuán segura se encuentra nuestra red de 
posibles ataques. La técnica de war 
walking consiste en recorrer a pie un área 
determinada en busca de un access point 
mal configurado que nos permita ingresar 
a una red en forma clandestina. 
Generalmente se utiliza un dispositivo 
manual, práctico de transportar como 
puede ser una PDA corriendo un software 


apropiado. 


Figura 1. PDA — War Walking 


En la foto vemos un PDA con un módulo 
transceiver Wi-Fi corriendo un software 
que indica la zona en un mapa geográfi- 
co con la ayuda de un GPS (Sistema de 
Posicionamiento Global) que toma refe- 
rencias de un satélite geoestacionario y 
permite indicarlas en el mapa. 


Generalmente quién realiza estos 
ataques tratará siempre de pasar inad- 
vertido ya que resulta ¡legal ingresar a 
redes privadas, además como los 
equipos no poseen demasiada potencia, 
deberán ubicarse en las cercanías de la 
zona en cuestión. Un equipo más sofisti- 
cado podría incluir antenas de alta 
ganancia acopladas a los dispositivos, 
incluso aquellas de fabricación casera 
con latas o tubos metálicos como los re- 
cipientes de papas fritas. 


Figura 2. Elementos mínimos necesarios 
para war walking. PDA, adaptador wire- 
less, antena casera 


War Driving 


Esta técnica posee la facilidad de no ir a 
pie sino motorizado en un automóvil e- 
quipado para tal fin. Ahora sí pueden incor- 
porarse herramientas más complejas e in- 
cómodas de llevar a mano. Generalmente 
deben ir más de una persona, de modo 
que uno conduzca y el otro al menos opere 
los dispositivos y registre los eventos. 


Figura 4. War Driving 


Formas menos disimuladas y bastante alo- 
cadas, producto del fanatismo, son las 
siguientes. 


War Flying 


A todo esto pongámosle alas... 


Y una forma anticuada pero que dio 
origen a lo que hoy conocemos como 
war driving. 
(Foto tomada 

Laboratorios Bell). 


del website de 


Variantes de war driving pero siempre 
sobre ruedas son... 


War Cycling 


Lo mismo pero...en bicicleta. 


Figura 11. War Flying. Aquí vemos la uti- 
lización de una antena casera formada por 
la unión de tres latas 


War Kayaking 
Figura 8. War cycling 


Y hasta aquí llega la... locura” ¿2? 


Figura 12. War Kayaking 
War Chalking 


Esta técnica consiste en detectar una red 
penetrable y dejar aviso para que otros 
puedan acceder posteriormente. Toma del 
inglés la palabra chalk que significa “tiza”, 
pues los atacantes hacen uso de un trozo 
de tiza para indicar, mediante una sim- 
bología específica, la presencia de una red 
vulnerable. 


Se utiliza tiza pues puede borrarse y corre- 
girse si cambian las condiciones de la red 
en cuestión. 


Veamos la simbología específica que se 
suele utilizar y ejemplos de dicha técnica. 
Generalmente estos símbolos se encuen- 
tran en zonas poco transitadas como 
suelen ser playas de estacionamiento en 
cercanías de empresas. Los parámetros 
que suelen representarse son: el SSID de 
la red, si se trata de un nodo abierto o 
cerrado, si posee encriptación WEP y el 
ancho de banda. 


letis warchalk..! 
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NODE 


blackbeltjones.com/warchalking 


access 


ssid contact 


bandwidth 


Figura 13. Símbolos de War Chalking > 
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Figura 15. War Chalking 


Scanners Wireless 


Hoy en día existe una vasta cantidad de 
herramientas utilizadas para explorar las 
redes inalámbricas en busca de accesos 
mal configurados. Existen productos co- 
merciales o los hay gratuitos y en ver- 
siones que corren en plataforma PC o bien 
en una PDA para mayor portabilidad. 
Siempre debemos apuntar a ser más pre- 
cavidos con aquellas herramientas gra- 
tuitas ya que, al tratarse de productos de 
consumo masivo, existe una mayor proba- 
bilidad de que seamos atacados con este 
tipo de software que con uno comercial. 


NetStumbler 8, MiniStumbler 
http://www.netstumbler.com 


Estos scanners trabajan con redes 
802.11a, 802.11b, 802.11g. NetStumbler 
trabaja sobre plataforma PC Windows 
mientras que MiniStumbler es la versión 
para handheld que corre Windows CE. Se 
define como un sniffer de redes wireless no 
intrusivo pues identifica a los access points 
que están realizando broadcast de sus 
nombres (SSID), además permite identi- 
ficar la dirección MAC del dispositivo. Esta 
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herramienta genera un sumario con los 
access points localizados con ayuda de un 
GPS. 


(9 D090D1008F6C 

(O 009001008938 11 WLAN 

O OM9OD1DOCCÉF 114 WLAN 10 
(O DO9OD1IDOBECS 6 WLAN 

(9 0090334FC3D1 10 Wireless 

(O OM9OD1IDOCAAS 11 WLAN 17 
(O O000D1O0BEO? 1 WLAN 

4 A a 
Ready 3APÑ  [GPSOfÑ |7f7 | 
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Figura 17. MiniStumbler, la versión para 
PDA's 


Con la ayuda de un software llamado 
StumbVerter, se pueden volcar los datos 
extraídos por NetStumbler y visualizarlos 
en un mapa de la ciudad a través de 
Microsoft MapPoint (a la fecha no se 
conocen mapas de Bs. As.). Los access 
points registrados son mostrados como pe- 
queños conos donde sus colores y formas 
denotan el nivel de la señal y el modo 
WEP. (WiFiFofum edad lcd org). 


p Es AO IAS 
Figura 18. Distribución de access El en 


un mapa visualizado con Microsoft 


MapPoint. 


Básicamente se trata de un scanner 
802.11 diseñado para PDA's que corren 
PocketPC 2003. 


Es una herramienta muy completa que no 
tiene nada que envidiarle a un producto 
comercial para plataforma PC, pues de un 
vistazo podemos conocer qué tipo de dis- 
positivo es, su SSID, canal de trabajo y si 
tiene encripción WEP habilitada. 


En su sitio web, el autor aclara que este 
producto NO es para uso comercial y que 
si se piensa usarlo con tal fin, invita a es- 
cribirle para discutir el tema de la licencia. 


Figura 19. Mapa con zonas de influencia de 
acuerdo al diámetro y color de los círculos 


Tools e E E le] 


E|- 


Figura 20. WiFiFofum 
AiroPeek /www.airopeek.de 


Para aquellos que conocen el analizador 
de protocolos Ether Figura 21. WiFiFofum 

Peek para redes cableadas, AiroPeek es un 
producto con similares características pero 
para redes inalámbricas. Es un pro- ES 


ducto comercial que permite “escuchar” el 
tráfico que circula por la red y analizarlo 
por protocolo. 


CE:D4:42:( glasgownet 
00:60:1D:C des10 
00:03:2F:1 MalcNet 
00:02:2D:2 des10 
00:02:2D:C des10 
00:02:2D:2 des10 
D0:02:2D:3 des10 
00:02:2D:2 des10 
00:30:65:1 des10 


Debemos aclarar que este producto no 


funciona con todas las tarjetas de red in- 
alámbricas. 


AirSnort http://airsnort.shmoo.com 


Esta clase de productos cumple funciones 
más específicas que la mera exploración 
de una red. 


Se define como una herramienta para 
redes inalámbricas capaz de recuperar 
llaves de encriptación. 


Opera monitoreando la red en forma 
pasiva y reuniendo una suficiente cantidad 
de paquetes hasta “adivinar” la clave 
usada en la encriptación permitiendo es- 
pecificar si se trabajará con claves de 40 ó 
de 128 bits. 
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Figura 23. AirSnort ha crackeado exitosa- 
mente el protocolo WEP. 


Los requerimientos para su correcto fun- 
cionamiento podrá encontrarlos en su sitio 
web. 


Figura 7. Un antiguo war driver 


Existe una versión de AirSnort que corre 
bajo Windows y otra bajo Linux. 


Kismet: el sniffer wireless 
(inalámbrico) más popular de la 
lista de Fyodor. 
(www.ínsecure.otg) 


Fyodor, autor de nmap y quien mantiene 
la web page www.insecure.org realiza an- 
ualmente una compulsa sobre ¿cuáles 
son las herramientas más usadas por los 
expertos en seguridad informática? 


Su mailing list recoge seguramente a los 
mejores expertos en seguridad informáti- 
ca, quienes normalmente utilizan nmap 
para variadas funciones. 


Para el caso de un SNIFFER WIRELESS, 
es KISMET quién logra el lugar más 
destacado. 


¿Qué es KISMET? 
(http://www.kismetwireless.net) 


Kismet es un poderoso sniffer para redes 
inalámbricas. Es un sniffer de red sobre el 
protocolo 802.11b, a y g. También es lo 
que se denomina un analizador de redes 
(network dissector). Es capaz de realizar: 
sniffing sobre la mayoría de las tarjetas i¡- 
nalámbricas, detección automática de 
bloques de IP via paquetes UDP, ARP y 
DHCP, lista de equipos Cisco vía Cisco 
Discovery Protocol, loggin de paquetes 
bajo criptografía débil y con archivos de 
paquetes compatibles de  Ethereal y 
tcodump. También incluye la habilidad de 
graficar las redes detectadas y rangos de 
redes estimados en mapas ya bajados o 
archivos de imágenes provistos por el 
usuario. El soporte para correr bajo el 
sistema operativo Windows está aún en 
desarrollo preliminar, así que en este 
caso Netstumbler es la opción. Usuarios 
Linux (y aquellos con PDAs bajo Linux) 
pueden querer mirar al scanner 
Wellenreiter. ¿ 
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802.11 Seguridad 


El hecho de que la información de una PC conectada a una WLAN sea accesible desde otra computadora, 
obliga a implementar la seguridad, para evitar que extraños puedan ver datos que no les corresponde. 


Autor: David Alejandro Yanover 


Director y Fundador de Master Magazine, 
revista digital líder en informática, con referen- 
cia en www.mastermagazine.info 


Bajada 


El caos que gira en torno a la protección de la 
redes Wi-Fi respira con la salida de una 
nueva especificación que busca satisfacer a 
los sectores más exigentes. Recorremos las 
soluciones actuales hasta llegar a WEP2. 


Desarrollo 


La disponibilidad de zonas Wi-Fi en la so- 
ciedad creció de manera notable en estos 
últimos años, teniendo su mayor expresión en 
Estados Unidos, impactando en Europa y lle- 
gando lentamente a Latinoamérica. 
Básicamente, ya sea una PC, notebook, telé- 
fono móvil u otro dispositivo con soporte Wi- 
Fi, que se encuentra con una LAN inalámbri- 
ca (WLAN), tiene acceso a Internet. De esta 
manera, resulta cada día más habitual encon- 
trar puntos de conexión o Hotspots en aerop- 
uertos, restaurantes y comercios, siendo una 
forma de atraer al público. Sin embargo, es 
precisamente la facilidad de acceso a las 
redes WLAN uno de sus mayores desafíos, 
en el ámbito de la seguridad. Es uno de los 
aspectos más débiles, inclusive en entornos 
corporativos, donde, en varios casos, la im- 
plementación de estas tecnologías está a la 
espera de mejoras técnicas en el área, que 
garanticen la confiabilidad del tráfico de datos. 
Por otro lado, es extraordinario ver cómo 
redes privadas de empresas no aplican 
medidas para proteger la información. La 
salida de la norma 802.11i tiene previsto 
cambiar las cosas. 

El hecho de que la información de una PC 
conectada a una WLAN sea accesible desde 
otra computadora, obliga a que sean anal- 
izadas las opciones de seguridad, para evitar 
que extraños puedan ver datos que no les cor- 
responde. Es importante destacar que los 
puntos de conexión son fáciles de detectar, ya 
que revelan su presencia estando en actividad. 


Una medida falsa de seguridad 

Nos proponemos entonces hacer un análisis 
de las distintas medidas de protección que 
abundan hoy en el mercado. Al iniciar el 
camino nos topamos con WEP (Wired 
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Equivalent Privacy). Presentado como el 
primer estándar de seguridad, se trata de una 
opción que jamás logró obtener la confianza 
de los técnicos a raíz de que sus sistemas 
invitan a los intrusos. Haciendo uso de claves 
compartidas, cada usuario de la red necesita 
tener su equipo configurado con la con- 
traseña asignada para entrar en la WLAN. 
Durante las conexiones, WEP reserva 24 bits 
para resolver claves que varían con el tiempo 
de manera automática y se constituyen con 
las originales, sin embargo el procesamiento 
de estos datos no utiliza ninguna herramienta 
de codificación. No obstante, pueden hacerse 
algunos agregados a WEP, para establecer 
un mayor reto a los que tratan de invadir la 
red. Para monitorear las PCs que participan 
en la WLAN pueden usarse listas de control 
de acceso basadas en direcciones MAC 
(Media Access Control). 


Herramientas de intrusión 


Los sistemas que utilizan la seguridad WEP 
son fáciles de romper, lo cual queda reflejado 
en dos aplicaciones especializadas, AirSnort y 
Kismet. Ambos programas son capaces de re- 
solver de manera pasiva las claves que son e- 
jecutadas en las WLAN bajo WEP, 
aprovechando sus debilidades de en- 
criptación. Al quebrar la red, es posible 
hacerse pasar como usuario legítimo, y obser- 
var y modificar los datos del resto de los miem- 
bros de la conexión. Por otro lado, una vez 
destruido WEP, las filtraciones MAC de los 
usuarios, en caso de utilizarse, son visibles. 


Sin embargo, es aconsejable activar WEP 
antes que no establecer ningún parámetro de 
seguridad. Otro punto que interviene en la in- 
seguridad de los puntos de conexión inalám- 
bricos son los ataques de negación de servi- 
cios (DoS, Denial of Service). De esta forma, 
la capacidad de radio puede afectarse, trans- 
firiéndose datos a un ritmo superior de que la 
red es capaz de soportar. 


La transición: en búsqueda una 
solución 


Luego, destaca en la lista WPA (Wi-Fi 
Protected Access), una de las soluciones más 
usadas hasta la fecha, ya que emplea 
métodos de encriptación de 128 bits y auten- 
tificación EAP (Extensible Authentication 
Protocol), además de operar con sesiones di- 
námicas. Lanzado en noviembre de 2002 por 


la Alianza Wi-Fi, encargada de certificar las 
normas de conectividad inalámbricas, VWPA 
tenía como objetivo reemplazar a WEP y 
servir de estándar provisional, hasta que 
hiciera su aparición IEEE (Institute for 
Electrical and Electronics Engineers) 802.111. 


Temporal Key Integrity Protocol (TKIP) es otra 
propuesta de seguridad a partir de WPA, la 
cual emplea claves de sesión dinámicas de 
128 bits. Mientras WEP usa claves estáticas, 
TKIP envía una contraseña maestra a los 
usuarios autentificados de la VVLAN al mismo 
tiempo que funciona de parámetro de partida 
para generar claves auxiliares. 


Otras tecnologías de seguridad que sugiere el 
organismo Wi-Fi son servidores RADIUS, 
para trabajar con claves de acceso en usuar- 
los inalámbricos y remotos, VPN (Virtual 
Private Network), que supone un canal más 
seguro entre el usuario y la red, Firewalls, 
para controlar los datos salientes y entrantes 
de las máquinas de tal manera de impedir 
que usuarios sin autorización tengan acceso 
a la información, y Kerberos, servicio de aut- 
entificación desarrollado een el MIT 
(Massachussets Institute of Technology). 


El lanzamiento de una norma 
real de seguridad. 


Cuando la seguridad en las redes wireless 
estaba en su peor momento, habiendo de- 
cepcionado a los entornos corporativos e 
inmersa en duras críticas, es presentado, en 
septiembre 2004, WPA2, dos meses después 
de la ratificación del estándar 802.11i sobre el 
cual está basado. WPA2 proporciona la ad- 
ministración segura de las conexiones Wi-Fi, 
garantizando un completo monitoreo de los 
usuarios activos. Entre las características 
principales destacan el uso de métodos de 
encriptación AES y el hecho de ser compati- 
ble con WPA, su antecesor, por lo que es 
posible migrar a esta nueva especificación. 


Las WLAN comienzan a consolidarse, res- 
pondiendo a las necesidades de los ámbitos 
más exigentes. La aparición de WPA2 es uno 
de los mayores logros en el campo de la se- 
guridad. Aún es temprano para decir que 
todos los problemas de intrusión desapare- 
cerán, pero la implementación de las medidas 
que se han puntualizado debería ser sufi- 
ciente para que las redes trabajen sin preocu- 
paciones. 4 


EL CAFELUG 


"Grupo de usuarios de GNU/Linux de Capital Federal" 


:: Debates 
:: Demostraciones 
:: Seminarios 


HTTP: //WWW.DEBIAN.ORG HTTP: //WWW.GNU.ORG 


Mas información en: 


http://www.cafelug.org.ar 


ETHICAL HACKING 


NMap y las 75 mejores herramientas de seguridad. 


No existe página más prestigiosa que insecure.org. En ella, Fyodor desarrolla NMAP, 
la herramienta Número 1, y presenta las 75 mejores herramientas de seguridad. 


Por Carlos Vaughn O*Connor 


NMAP (“Network Mapper”) es una her- 
ramienta Open Source, para exploración 
de redes y auditoría de seguridad. Se 
diseñó para scanear rápidamente redes de 
gran escala, aunque funciona muy bien 
aplicada a hosts individuales. Usa los pa- 
quetes IP de manera novedosa para deter- 
minar qué hosts están disponibles en la 
red, qué servicios (nombre de la aplicación 
y su versión) ofrecen esos hosts, qué sis- 
temas operativos (y sus versiones) están 
empleando, qué tipo de filtros/firewalls 
están en uso, y muchas características 
más. Nmap puede correrse en la mayoría 
de las arquitecturas y se puede emplear 
tanto en versiones de consola como gráfi- 
cas. NMAP es software libre, disponible 
con todo su código bajo la licencia 
GNU/GPL. 


Si desea aprender cómo funciona nmap 
como herramientas de scanning, lea el 
artículo “Ethical Hacking Paso a Paso. 
Scanning” en esta revista. 


Características de Nmap: 


-Flexible: Dispone de docenas de técni- 
cas avanzadas para lo que se denomina 
scaneo de redes (“mapping out networks”) 
llenas de filtros IP, firewalls, routers y otros 
obstáculos. Esto incluye muchos mecanis- 
mos de escaneo de puertos (TCP y UDP), 
detección de sistemas operativos, detec- 
ción de versiones, barrido de ping (ping 
sweeps) y más. 


-Poderoso: Ha sido usado para el scaneo 
de redes inmensas con cientos o miles de 
máquinas. 


-Portable: Corre en la mayoría de los sis- 
temas operativos, incluyendo Linux, 
Windows de Microsoft, FreeBSD, Open 
BSD, Solaris, Irix, Mac OS X, HP UX, 
NetBSD, Sun, Amiga y otros. 


-Fácil: Ofrece características avanzadas 
para usuarios avanzados A la vez usted 
puede comenzar con tan simplemente 
hacer “nmap -v -A hostblanco”. Existen ver- 
siones para línea de comandos y GUI de 
modo de satisfacer cada preferencia. Existen 
los binarios para aquellos que no deseen 
compilar a Nmap desde las fuentes. 
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-Sin cargo: El objetivo primario del 
Proyecto de Nmap es hacer Internet más 
seguro y proveer a Administradores/audi- 
tores/hackers de una herramienta avanza- 
da para explorar sus redes. Nmap está 
disponible para ser bajado gratuitamente 
(free download), pero también viene con el 
código fuente completo que Usted puede 
modificar y redistribuirlo bajo los términos 
de GNU General Public License (GPL). 


-Bien documentado: Fácil de comprender 
y actualizada documentación que usted 
podrá encontrar en www.insecure.org, en 
múltiples lenguajes. 


-Con Soporte: No tiene garantía, pero su 
autor puede ser consultado ( fyodor(Winse- 
cure.org) Existen muchas listas de correo a 
las cuales usted podría pertenecer. 


-Aclamado: Ha recibido numerosas distin- 
ciones de revistas e incluso Microsoft la re- 
comienda. Recibió el “Information Security 
Product of the Year” de la revista Linux 
Journal, Info Works y CodeTalker Digest. 


-Popular: Miles de personas la bajan dia- 
riamente y está incluida en muchos sis- 
temas operativos (Red Hat, Debian Linux, 
Gentoo, FreBSD, OpenBSD, etc). Está 
entre los primeros diez (de 30.000) progra- 
mas que se ofrecen en Freshmeat.net. 
Esto es importante ya que le brinda a 
Nmap un desarrollo vibrante y lo soportan 
activamente. 


Encuesta a 20.000 usuarios de Nmap: 
las 75 mejores herramientas de 
seguridad informática. 


De una encuesta realizada por Fyodor a 
20.000 hackers que utilizan Nmap, con el 
propósito de que describieran sus he- 
rramientas de seguridad favoritas, res- 
pondieron 1854 personas. Cada persona 
podía responder con una lista de 8 he- 
rramientas. 


Aquí detallaremos las 5 primeras her- 
ramientas y mencionaremos las 6 sigu- 
ientes. Quien desee ver la lista completa lo 
referimos a www.insecure.org. 

Los interesados en el tema de seguridad 
encontrarán información de utilidad en la 


lista y podrán también conocer productos 
con los que todavía no están familiariza- 
dos. Dada la característica especial de los 
consultados, las respuestas tendrán una 
leve orientación hacia los ataques más que 
a la defensa. 


$ 
d 
y 
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1-Nessus: Es la 
A ES JE) herramienta más 
importante, Open 


Source, de testeo de  vulnerabili- 
dades. 

Es un scanner de seguridad remoto para 
Linux, BSD, Solaris y otros Unix. Está 
basado en plug-ins, tiene una interfase 
GTK y lleva a cabo 1200 chequeos de se- 
guridad remotos. Permite que los reportes 
sean generados en HTLM, XML, LaTex y 
texto ASCII y sugiere soluciones para prob- 


lemas de seguridad. 
A ES ES) 2-Ethereal: Sniffea 
los paquetes TCP/IP 
que mantienen unida a Internet. 
Es un analizador de protocolos de red de 
softaware libre y corre bajo Unix y 
Windows. Le permite examinar los datos 
de una red en actividad o de un archivo del 
disco que contenga el material capturado. 
Usted puede interactivamente browsear 
los datos capturados, viendo un resumen y 
la información detallada de cada paquete. 
Tiene varias características poderosas., in- 
cluyendo una exposición rica y filtrada y la 
habilidad de ver el stream reconstruido de 
una sesión TCP. Está incluida, una versión 
en modo texto llamada Tethereal. » 


Hay que pagar 
Trabaja bajo Linux 


Trabaja bajo FreeBSD /NetBSD 
/OpenBSD y UNIX propietarios 


Trabaja bajo Windows 


3-Snort: Un siste- 
A BY de detección 
de intrusos (IDS) 


de software libre. 

Es liviano, capaz de realizar análisis 
de tráfico en tiempo real y registro de 
los paquetes IP de las redes. 

Puede realizar análisis de protocolo, 
búsqueda / correspondencia de con- 
tenidos y puede ser usado para detec- 
tar una variedad de ataques y 
pruebas, como buffer overflows, 
stealth port scans (scans de puertos 
en modo silencioso), ataques CGI, 
pruebas SMB, intentos de caracteriza- 
ciones de sistemas operativos y 
mucho más. Usa un lenguaje basado 
en reglas flexibles para describir el 
tránsito que debe recolectar o pasar y 
un dispositivo de detección modular. 
Mucha gente aconseja que la he- 
rramienta * Analysis Console for 
Intrsion Databases (ACID)” sea usado 
en conjunto con Snort. 


4-Netcat. Se trata 
Ay de la “navaja del e- 
jército suizo” 


(Swiss army knife). 

Es una herramienta Unix que lee y 
escribe datos a través de las co- 
nexiones de red, usando protocolos 
TCP o UDP. Se diseñó para ser una 
herramienta confiable back-end que 
puede ser usada directamente o fácil- 
mente transportada por otros progra- 
mas y scripts. 

Al mismo tiempo es una herramienta 
con muchas características para 
hacer un debugging y explorar, ya 
que puede crear casi cualquier tipo de 
conexión que usted puede necesitar y 
tiene varias capacidades incluidas. 


5-TCP Dump / Win 
Ay Dump: El clásico 
sniffer para moni- 


torear la red y adquirir datos. 

Es un analizador de paquetes de red 
(sniffer) muy conocido y apreciado. Puede 
ser usado para printear los headers (en- 
cabezamientos) de los paquetes en una in- 
terfase de red que coincidan con una dada 
expresión. Se puede usar esta herramien- 
ta para hallar problemas de redes y para 
monitorear las actividades de las mismas. 
Hay una portación llamada WinDump para 
Windows. TCPDump es también la fuente 
del Libpcap/WinPcap, la librería de captura 
de paquetes usada por Nmap. Note que 
muchos usuarios prefieren el sniffer 
Ethereal que es más nuevo. 


6-Hping2 : Una utilidad para 

A DY sr: las redes. Es un ping 
en esteroides. 

7-DSniff: Un grupo 

A DY de herramientas 

poderosas para 


auditar redes y realizar tests de pene- 
tración. 


8-GFIl LAN guard: Un 
MY scervo: de seguridad co- 
mercial para Windows. 


9-Ettercap: En caso 
de que usted todavía 
crea que LANs switc- 


headas le aportan mucha más seguridad, 
conozca esta herramienta. 


10-Wisker 
A DY ILibwisker: un 
scanner que permite 


testear servidores http, en particular vul- 
nerabilidades CGI. 


11-John the Ripper: 
Es un cracker de 


No hashes de  pass- 


words multiplataforma, extraordinaria- 
mente poderoso, flexible y rápido. 


12-OpenSSH/ SHH: 
A DY iy una manera segura 
de acceder a com- 


putadoras remotas. 


13-Sam Spade: Herramienta free- 
ware para Windows, que nos 


permite indagar en la redes. 


¿Quién es Fyodor? 


Se trata de un hacker (definido por él 
*...como quien se divierte jugando con las 
computadoras y empujando al hardware y 
software a sus límites”...), que tiene interés 
en la seguridad, las redes y la criptografía. 
Estos temas se superponen pero son esen- 
ciales para la seguridad de las redes públi- 
cas como es Internet. 

Su actividad favorita es programar y aún sa- 
biendo muchos lenguajes, la mayoría de su 
trabajo lo hace en C/C++ o Perl. Se siente 
cómodo en máquinas corriendo bajo UNIX, 
especialmente en sistemas open source. Su 
opinión es que estas plataformas son muy 
poderosas, pueden redistribuirse libremente 
y vienen con una colección muy grande de 
software de utilidad. La disponibilidad del 
código fuente los hace más seguros y más 
fáciles de utilizar y comprender. Su scanner 
de seguridad Nmap ahora corre bajo 
Windows y por ello se ha esforzado en 
aprender lo básico de ese ambiente de pro- 
gramación. 

Como muchos hackers, le gusta leer. Se 
inspiró en el autor ruso Fyodor Dostoyewski 
para su elegir su “handle” (seudónimo). «| 
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SNORT bajo Windows 


ETHICAL HACKING 


EL NIDS (Network Intrusion Detection System) OPEN SOURCE ahora corriendo bajo Windows. 


Introducción 


Infinidad de paquetes con información a- 
traviesan a gran velocidad las redes de 
computadoras. 

Algunos fueron diseñados con malas inten- 
ciones. Pueden pasar los firewalls y las de- 
fensas perimetrales ingresando y dañando 
nuestros sistemas. 


Seguramente, ha experimentado algún 
ataque con SQL SLAMMER, CODE RED, 
NIMDA y MSBlaster. Todos estos progra- 
mas maliciosos utilizan protocolos confi- 
ables: HTTP o SMB/CIFS de Microsoft 
para alcanzar a realizar su maligna 
función. 


La opción NO es bloquear esos protocolos. 
Las organizaciones emplean los llamados 
IDS  (Intrution Detection Systems) 
(Sistemas de detección de intrusos). En 
particular, aquellos que monitorean las 
redes: los NIDS (Network IDS). 


Es posible encontrar en el mercado exce- 
lentes NIDS. Sus precios y capacidades 
son variados. Generalizando son todos 
buenos y cumplen su función con eficacia. 


Existe además una versión de fuente 
abierta (Open Source) denominada 
SNORT. 

A diferencia de lo que ocurre generalmente 
esta aplicación Open Source del mundo 
Unix-like (Linux, OpenBSD...) corre en 
Sistemas Operativos de Microsoft. Y se 
trata de un producto muy eficaz. 


La historia de SNORT 


SNORT fue desarrollado alrededor de 
1998 por Martin Roesch (el fundador de 
Sourcefire, http://www.sourcefire.com 
Isnort.html ) y ofertado con licencia 
GPL/GNU .Se trata de un aplicación 
ampliamente probada, realizada con con- 
tribuciones de la comunidad Open Source. 
La versión actual puede llevar a cabo en 
tiempo real un análisis del tráfico IP y su 
registración (loggin) aún en redes con 
Fast Ethernet y Gigabit Ethernet . Snort fue 
mirado a la plataforma Windows (Win32) 
por Michael Davis. Chris Reid ha continua- 
do esta tarea y actualmente SNORT para 
Windows está presentado como un eje- 
cutable de muy sencilla implementación. 
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¿Se necesitan muchos recursos 
para correr SNORT bajo WINDOWS? 


>> SNORT corre bajo SOs Windows desde 
WIN2k professional y posteriores (XP, 
Win2K Server, Windows Server 2003). 

>> Se necesita por lo menos una placa de 
red. Quizás la mejor opción es tener 2 
placas de red. Una conectada a la red a 
monitorear y otra a nuestra red de produc- 
ción. 

>> No se requiere licencia ya que es una 
aplicación OpenSource. 

>> No son necesarios demasiados recur- 
sos computacionales. El programa es muy 
eficiente. Por ejemplo SNORT con 900 
MHz y 512MB de Memoria puede manejar 
redes de miles de sistemas. 


¿Dónde ubico un NIDS dentro de 
mi infraestructura de red? 


Muy probablemente no lo colocaré delante 
del firewall. La idea es dejar al firewall 
filtrar. Si lo pongo delante obtendré la 
mayor cantidad de paquetes, pero también 
de ruido. 

También deberá estar detrás de los dispo- 
sitivos que reciban a sus usuarios remotos 
(VPNs, conexiones wireless...). 
Recordemos que si el tráfico está encripta- 
do SNORT no lo detectará. Como regla 
general Ud debería colocar el NIDs tan 
atrás como le permitan los componentes 
que encriptan el tráfico, pero debe poder 
capturar el tráfico de tantos segmentos y 
subredes como sea posible. 


¿Cómo instalo SNORT en un 
Sistema Operativo Windows? 


Snort es básicamente un sniffer de redes 
seteado en modo promiscuo. En el mundo 
Unix se utiliza “libpcap” como el driver para 
captura de paquetes. Loris Degioamni hizo la 
portación (“to port”, migrar) para Windows en 
el producto * WinPcap”. 

¿Entonces qué es winPcap?. Es un filtro de 
paquetes que opera a nivel del kernel, es una 
DLL de bajo nivel y una librería de alto nivel 


(independiente del sistema): wpcap.dll 
(basada en libpcap 0.6.2) . 
Se puede bajar WinPcap en 


http://winpcap.polito.it Winpcap también 
soporta el excelente sniffer del mundo oPen 
source: “Ethereal” (www. ethereal.com). 
Instalar WinPcap es muy sencillo. 


Snort puede obtenerse de la página web 
de Codecraft. 

CodeCraft ha sido responsable por 

>> Escritura y mantenimiento del Win32. 
Ha realizado la migración de 
Snort1.8,1.9,2.0 y 2.1 de Unix, 

>> soporte inicial para Microsoft SQL. 
Servidor en el módulo loggin de la base de 
datos. 

>> Desarrollar el soporte integrado para 
Snort para correr como un servicio Win32. 
>> Desarrollar la instalación de Snort 
wizard paraWindows. 


http://www.codecraftconsultants.com/Snort 
.aspx O www.snort.org 


Una vez realizado el download de la 
página de Codecraft, la instalación es más 
que sencilla. Deberá tomar algunas deci- 
siones en el camino como por ejemplo, 
qué base de datos utilizará: MySQL o 
ODBC (en este caso deje la selección por 
default). Pero, quizás quiera hacerlo a una 
base SQL o Oracle. El resto son simple de- 
cisiones de ubicación de archivos, etc. 


Aquel que desee usar Snort de forma pro- 
fesional podrá usar la documentación de 
su web-page o excelentes libros dedicados 
a Snort. Allí aprenderá a: 

-Configurarlo. 

-Configurar las reglas. 

-Setear las alertas y los logs. 

-Correrlo como un servicio. 


Pero, veamos cómo funciona Snort. 


Al momento de ejecutar el .exe la siguiente 
información deberá ser provista: 1. dónde 
escribir los logs y 2. dónde encontrar el 
archivo de configuración. 


Esta información se provee cuando lan- 
zamos snort desde la línea de comando: 


snort —| C:isnortllog —c C:letcisnort.conf 
—A console 


-A le dice que deberá mostrar la salida en 
la pantalla. 


La figura 1 nos muestra la salida de snort a 
esta secuencia de comando en el 
command prompt. A partir de este 
momento Snort analizará todo lo que 
ocurre en su red. 


Si desea activar una alerta intere- > 


=181xi 
ESSE SL O Nsmor Eos =evsnortietocvsnort. cont =A console 
Running in IDS mode 
Log directory = c:1snortilog 


Initializing Network Interface XADevicelPacket _NdisWanlIp 
OpenPcap() device ADevicelPacket _NdisWanlp network lookup: 


¿Qué es un NIDS? 


NIDS es básicamente un SNIFFER especializado. Un “ol- 
fateador” de paquetes. Estudia cada paquete que pasa por 
la interfase tratando de localizar determimadas formas pre- 
cisas dentro del payload de los paquetes donde residen e- 
specíficamente los códigos maliciosos. 


The operation completed successfully. 
=-=== Initializing Snort ==-- 
ita IOUEPuUtE Ae ligas 
Decoding Ethernet on interface XADevicelPacket_NdisWanIp 
Initializing Preprocessors! 
occiso ro ias 
Parsing Rules file AsnortletcA1snort.conf 


Con un NIDS como SNORT podrá vigilar dentro de su red, 
el contenido y la correspondencia de cada paquete que a- 
traviesa su organización y detectar así una gran cantidad 
PARA A A A A A A+ de ataques y tráfico hostil. 
Inicia ia aule Calas: os 
== === Lo Comi) o====2=2222222323232335 
Stats Interval: (0) 
Hash Method: 2 


¡Todo esto en tiempo real! 


Mellon que permite realizar esto (ACID: 


Análisis Console for Intrusión Databases. 
IIS Unicode Map: GLOBAL IIS UNICODE MAP CONFIG 


A ¡¡Una herramienta casi indispensable! 
rpc_decode arguments: 
Ports to decode REC en: 111 32771 
alert fragments: INACTIVE vu von rod Snort 2.0 
alert _large fragments: ACTIVE > Intrusion 
sante, simule lo que hace el ataque de Nimda Recomendamos leer la bibliografía sobre Snort Snort 2.0 Detection 


Intrusion Detection 


y Code Red: 

Desde su web.browser haga: 
http:/Awww.prueba.com.ar/cmd.exe (prueba es 
por supuesto genérico). 


Verá en la otra pantalla la alerta que nos da Snort 
y por supuesto también quedará grabado en 
csnort.log 

Se recomienda tener cuidado con el sitio web 
que se usa ya que muchos administradores con- 
siderarían esto como el ataque de un hacker. 
Otro modo de activar de forma sencilla un alerta 
es enviar un ping a un servidor de nuestra subred 
con un paquete extremadamente grande : 


ping -1 32767 192.168.0.33 
este paquete dirigido a la máquina con número 


IP 192.168.0.33, no es de rutina y Snort nos dará 
la alerta. 


Más allá del primer nivel. 


Lo anterior fue “jugar” a ver como funciona Snort. 
Snort es una aplicación muy completa. Y, es 
posible incrementar sus posibilidades. 


para volverse un experto. En nota aparte les 
mostramos un libro muy popular sobre como uti- 


lizar Snort. 


¿Qué es ACID? 


por Brian Caswell, 
Jay Beale, 

James C. Foster, 
Jeremy Faircloth. 


Normalmente CENA : lo 
Snort Enea Choose Components pa 
Em SOTO Choose which features of Snort you want to install. € y) 


con las siglas 
ACID. 

Supongamos 
que de- 
seamos  re- 
alizar Data 
mining sobre 
los datos de 
alertas de 
Snort. 


Se puede 
incluir un Add- 
on desarrolla- 
do por la Uni- 
versidad de 
Carnegie 


Check the components you want to install and uncheck the components you don't want to 
install. Click Next to continue. 


a Description 
Select components to install: Snort Hate Por ENDN 
Documentation a component to see its 
Contrib description. 
Space required: 9.2MB 
tin 
< Back Cancel 


SNORT, el sistema de detección de intrusos de la fuente líbre 


“SNORT es un sistema de detección de intrusos de tipo liviano. Es capaz de llevar a cabo en tiempos reales un análisis del tráfico y 


logonear un paquete en trabajos de red IP. 


Está preparado para hacer análisis protocolizado, buscar contenidos y unirlos y puede detectar variedad de ataques y pruebas como 
neutralizar sobreflujo, escanea rport steath, ataques CGI, pruebas SMB, intentos de huella digital y mucho más.” 


“Snort usa un lenguaje de reglas flexibles para describir el tráfico que debe recolectar o pasar, así como una maquinaria de detec- 
ción que utiliza una arquitectura modular de conexión. Snort también tiene capacidad de alerta de tiempo real., incorporando meca- 
nismos de alerta para syslog, un archivo específico de usuario, una conexión UNIX, o mensajes de Winpop a los clientes Windows 


utilizando el smbclient de Samba.” 


“Tiene 3 usos primarios. Puede ser usado directamente como un sniffer de paquetes similar a tcodump (1), un logger de paquetes 
(de utilidad para el trabajo de red de tráfico debugging, etc.) o como detector de intrusión en el sistema.” 


-Extractado de snort.org 
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pa 


Snort para 


autor: Martin Sturm 
MCSA, MCSE, LPIC (101/102/201) 


¿Qué es Snort? 


El Snort es un Sistema de detección 
de Instrusos (IDS) muy potente, el 
cual hace las veces de sniffer colo- 
cando la interfaz de red de la máquina 
en la cual se encuentra corriendo en 
modo promiscuo, es decir, brinda la 
capacidad a la placa de red de 
obtener todos los paquetes que circu- 
lan en un mismo hub o switch aún sin 
ser los suyos. 


El objetivo de Snort es, 
por sobre todas las 
cosas, el de alertar en 
caso de recibir un intento 
de ingreso o ataque a 
nuestra red. Para ello se 
basa en un gran número 
de reglas que deciden si 
el evento o paquete 
recibido corresponde a un 
ataque o no. 


Una de las ventajas más 
importantes a la hora de 
optar por Snort como 
nuestro IDS preferido por 
sobre los demás, es la 
gran cantidad de reglas 
que se encuentran pre- 
definidas hoy en día y el 
respetable grupo de de- 
sarrolladores con el que la organi- 
zación cuenta, ya que estos últimos 
son quienes constantemente actua- 
lizan dichas reglas. Una regla se en- 
cuentra definida por dos secciones 
lógicas: Cabecera de la Regla ó “Rule 
Header” y Opciónes de la Regla ó 
“Rule Options” donde: 


Cabecera de la Regla: Contiene la 
acción, protocolo, puerto e 
IP/máscara de red Origen y puerto e 
IP/máscara de red Destino. 


Opciónes de la Regla: Contiene men- 
sajes de alerta e información del 
sector del paquete donde se debe in- 
speccionar para determinar si esta se 
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Linux 


cumple o no. 


En el siguiente ejemplo se generará 
un alerta en caso que alguien inten- 
tara conectarse al servidor Telnet 
local, el mismo arrojará un mensaje 
con el valor especificado en “msg”, lo 
que permitirá identificar rápidamente 
el evento en el archivo de log: 


alert tcp any any -> 192.168.1.1/32 23 
(content: “pass”; msg: “TELNET!!!!”;) 


Es muy importante prestar gran aten- 
ción a la configuración del mismo, ya 
que si éste se encuentra configurado 


con una sintaxis errónea podría 
generar lo que se conoce como 
“Falsos positivos”, es decir, estaría in- 
formando alertas falsas, las cuales no 
harán más que llenar el disco de infor- 
mación innecesaria. 


¿Cómo instalarlo? 


Para instalar Snort se deberá bajar el 
código compreso de su sitio oficial 
(www.snort.org); en la sección “down- 
loads” se encuentran las versiones 
disponibles, las mismas pueden 
bajarse precompiladas (en formato 


binario) o bien para compilar. Una vez 
obtenida la versión que más se ajuste 
a las necesidades se procederá a la 


instalación: 
En caso de haber optado por el 


paquete rpm: 


rem —Uvh snort-1.9a.rpm 


Este procedimiento es muy sencillo, 
ya que al instalar el paquete rpm, au- 
tomáticamente se crean los directo- 
rios con las diferentes 
reglas y el archivo de con- 
figuración principal del pro- 
grama. 


En caso de haber optado 
por el source: 


$ tar zxf snort-2.0.0.tar.gz 
$ cd /snort-2.0.0 

$ ./configure 

$ make 

$ make install 


Una vez instalado el 
source se deberá instalar 
el paquete de reglas actu- 
alizadas, el cual incluye el 
archivo de configuración 
general, este mismo puede 
ser obtenido también 
dentro de la sección 
“downloads” de la página 
oficial (www.snort.org). 


$ mkdir /etc/snort 

$ cp snortrules-stable.tar.gz /etc/snort 
$ tar -zxfv snortrules-stable.tar.gz 
$ rm snortrules-stable.tar.gz 


Luego se procederá a la edición del 
archivo de configuración principal me- 
diante cualquier editor de texto: 


$ vi /etc/snort/snort.conf 


Al editarlo se podrá observar gran 
cantidad de líneas comentadas, las 
mismas ayudarán a la comprensión de 
cada una de las opciones a configurar. 
Las opciones más importantes para 
configurar son las siguientes: 


» 


* Definición del rango de direc- 


ciones de la red interna: 


H Para ello se deberá optar por alguna 
de las posibilidades descriptas (sólo 
una) 


var HOME_NET 192.168.0.0/24 
+ Define un rango de direcciones de 
red. 


var HOME_NET $eth0_ADDRESS 

*+ Define el rango de direcciones de 
red al cual pertenece la interface de 
red etho0 al iniciar Snort 


var HOME_NET [ 192.168.0.0/24 
,192.168.1.0 / 24,10.0.0.0/24 ] 

+ Define diversos rangos de direc- 
ciones de red. 


* Definición del rango de direcciones 
de la red externa: 


var EXTERNAL_NET any 


*+ Definición de direcciones de red de 
algunos servidores importantes: 


var DNS_SERVERS [192.168.0.1, 
232.0.17,24.132.21.0.18] 


var SMTP_SERVERS 192.168.0.1 


var HTTP_SERVERS [192.168.0.2, 
192.168.1.2] 


var SQL_SERVERS [192.168.0.1] 


Una vez configuradas las variables 
más importantes se deberán habilitar 
los diversos preprocesadores, los 
cuales se encargarán de analizar los 
paquetes y detectar intentos de 
hackeo, ataques, escaneo de puertos, 
y demás. 


El mecanismo a seguir para la acti- 
vación de los diferentes preproce- 
sadores es la de visualizar los comen- 
tarios de cada una de las opciones 
para reconocer cuáles son los que se 
ajustarán a las necesidades y luego 
descomentar cada una de las líneas, 
por ejemplo, para activar la detección 
de escaneo de puertos se deberá 
activar el procesador “portscan”, para 
ello habrá que descomentar la si- 
guiente línea: 


preprocessor portscan: 
192.168.1.0/24 5 7 
Ivar/log/portscan.log 


La sintaxis afirma que si en 7 segun- 
dos se accedieran a 5 puertos distin- 
tos, entonces la información quedará 
reflejada en el archivo de log 
“portscan.log”. 


preprocessor 
hosts: 
192.168.1.1/32 192.168.0.1/32 


portscan-ignore- 


En este caso se estaría ignorando 
cualquier tipo de scaneo de puertos 
proveniente de los hosts especifica- 
dos. 


Finalmente, se 


deberán con- 
figurar las 
salidas 


(Output) de in- 
formación, es 
decir, qué 
tipos de reg- 
istros generar 
(utilizando 
Syslog, 
archivos de 
textos propios, 
registros en 
una base de 
datos), dónde 
se alojarán 
dichas salidas 
y cuál será su 
formato. 


En caso de 
necesitar refle- 
jar los eventos 
en el syslog se 
deberá descomentar la siguiente línea 
donde se podrá apreciar tanto la faci- 
lidad como el argumento del syslog: 


output alert_syslog: 
LOG_AUTH LOG_ALERT 


Si por el contrario se deseara arrojar 
la información de los eventos a una 
base de datos (MySQL) se deberá 
descomentar la siguiente línea: 


output database: 

log, mysql, user=snort 
password=ppp 

dbname=snort host=localhost 


Cabe aclarar que en caso de arrojar la 
información a una base de datos, pre- 
viamente se deberán instalar los pa- 
quetes necesarios para el fun- 
cionamiento del Servidor SQL (Mysql / 
Postgresa]l). 


Además al momento de compilar el 


snort se deberá parametrizar el 
soporte para SQL: 


.Iconfigure --with-mysq]l 


La información recolectada por el 
Servidor de base de datos puede ser 
consultada por línea de comandos o 
vía web mediante un soft adicional 
llamado ACID, quien se encargará de 
la visualización de los logs recogidos 
por Snort, este soft no necesita ningún 
tipo de instalación, simplemente se 


deberá bajar el paquete tar.gz del sitio 


http://acidlab.sourceforge.net/, des- 
compactar el archivo en algún directo- 
rio dentro del “DocumentRoot” (por 
ejemplo /acid) correspondiente a la 
configuración del Servidor apache y 
luego acceder a la interfaz web vía: 
http://direccion-del- 
virtualhost/acid/acid_main.php 


En la sección final del archivo de con- 
figuración se invocan todas las reglas 
incluídas dentro del directorio 
letc/snort, las mismas contienen 
definiciones de alertas como la co- 
mentada en el ejemplo del comienzo. 


Para incluir nuevas reglas tan solo 
hay que agregar una línea al final del 
archivo con el siguiente formato: 


include SRULE_PATH/regla _nueva.rules 


de 
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NESSUS 


El scanner de vulnerabilidades Open Source. 


La redes modernas deben ser monitore- 
adas de modo de poder detectar vulnera- 
bilidades en los sistemas que las compo- 
nen. Si no lo hace nuestro administrador, lo 
hará un hacker. 


Un scanner de vulnerabilidades se aplica 
sobre un dado sistema y la información 
que obtiene se chequea (compara) contra 
una base de datos de vulnerabilidades 
conocidas. Al final nos provee un reporte 
de los agujeros de seguridad (security 
holes) encontrados. 


Existen scanners de vulnerabilidades co- 
merciales cuyos costos pueden estar en 
los miles de dólares. Nessus es de la 
misma calidad que la mayoría de ellos 
pero su costo es cero (gratis) y su código 
Open-Source. 


En un reciente artículo de la prestigiosa 
revista WindowsITPro (www.windowsit- 
pro.com) se realizó una comparación entre 
NESSUS y otros scanners de vulnerabili- 
dades comerciales. NESSUS comparó 
muy favorablemente con Retina de e-eye, 
que fue elegido como el más destacado. 
Otros a destacar: Sunbelt Network Security 
Inspector (SNSI) de la empresa Sunbelt, 
Vulnerability Manager de NetlQ, LANguard 
Network Security Scanner de GFl, Retina 
de e-eye Digital Security y 2 
RMS  vulnerabibity-manage- 
ment solution de BindView. 
Destacamos, que LANguard 
figura como número +8 en la 
lista (Nessus es el primero) de 
los más populares en la lista de 
Fyodor (www.insecure.org) (ver 
el artículo en esta edición). 


Los scanners mantienen bases de datos 
que categorizan y describen las vulnerabi- 
lidades que pueden detectar. 


Los más completos hasta proveen la 
posible solución a la vulnerabilidad detec- 
tada o links a las listas de Bugtraq 
(www.securityfocus.com) (ver nota ) y CVE 
(Common Vulnerability and Exposures) 
(http://www.cve.mitre.org )(ver nota). 


La mayoría de los scanners requieren 
tengamos que tener privilegios de admi- 
nistrador sobre la máquina estudiada. 
Aunque se provee casi siempre la opción 
de hacer el estudio sin ese privilegio, es 
decir como atacante anónimo. 
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Al finalizar el scaneo se produce mucha in- 
formación que es presentada como un 
reporte. La mayoría provee archivos .mdb. 
Muchos para un SQL server. Si uno 
conoce de base de datos puede procesar 
la información en otros formatos. 
Conocida la vulnerabilidad es también im- 
portante conocer la solución. La mayoría 
nos provee de suficiente información para 
hacerlo o aún ya nos da el remedio. 


NESSUS 


Nessus está compuesto de 2 partes: un 
cliente y un servidor. Se necesita un 
sistema UNIX-like como server (Linux por 
ejemplo). El cliente Nessus puede insta- 
larse en una máquina bajo Windows o 
Unix-like (Unix, Linux, FreeBSD...). 


Por ejemplo, su puesta en marcha sobre 
un sistema Linux es muy sencillo. 


Configuración del server UNIX por el 
administrador 


1. hacer un download e instalar 
nessusd(servidor) y nessus (cliente). 


2. Crear una cuenta en el servidor 

nessusd. El servidor nessusd tiene su 
propia base de datos de usuarios, 
pudiendo tener cada usuario su 
propio conjunto de restricciones. 
Esto nos permite compartir un solo 
server nessusd en un red amplia y 
restrigir a diferentes administradores 
a poder testear sólo su parte de la 
red. 


La utilidad nessus-adduser me permite 
crear nuevas cuentas. Puedo por ejemplo, 
a través de reglas, permitir a un usuario 
sólo poder testear a un sólo host. Incluso 
sólo su host. 


3. configurar el demonio nessus. 

En el archivo /usr/local/etc/nessus 
/nessusd.conf se pueden setear opciones 
varias. Típicamente los recursos que le 
permitiremos usar a nessusad, la velocidad 
en la que debe leer los datos, etc. 


4. activar “nessusd” 

Una vez que esto está hecho, puedo 
activar “nessusd” como usuario “root” ha- 
ciendo: 


nessus -D 


Usar el cliente UNIX o Windows: 


La interfase gráfica y sus diferentes 
solapas me permitirán decidir qué deseo 
hacer . La figura 1 muestra la GUI para el 
caso de un cliente UNIX. 


figura 1.Interfase gráfica del cliente Nessus 
bajo LINUX 


Como ya dijimos, Nessus cliente también 
se puede instalar sobre plataforma 
Windows. Uno puede hacer un download 
en http://nessuswx.nessus.org. 


Recalquemos que siempre se debe insta- 
lar un back-end server sobre Unix. El 
cliente (front-end) puede correr sobre 
UNIX o Windows. Usar un cliente Windows 
puede traer problemas de credenciales 
que se deberá resolver. Existe excelente 
documentación en los sitios detallados an- 
teriormente donde se podrá consultar. 


Nessus provee una muy completa base de 
datos para el chequeo de vulnerabilidades. 
Son llamados plugins. Es posible (si así se 
desea, operar a Nesus en un modo intrusi- 
vo) (ver nota). 


En la página web de Nessus es posible 
obtener más de 2100 plugins que cubren la 
mayoría de las plataformas. Los plugins se 
organizan por familias: abusos CGlI, fire- 
walls, ftps, scanners de puertos etc... 


Lo primero que hacemos al realizar un 
scan es crear una “session” donde defini- 
mos el blanco y opciones (hostname, o 
número IP o podemos importar una lista > 


de blancos de un archivo txt.) 


Nessus incluye Network Mapper (nmap) de 
Fyodor (www.insecure.org). Pero, da la 
posiblidad de realizar otros tipos de scan- 
ning de puertos (ping,o SNMP por 
ejemplo). 

Desde la interfase gráfica uno elige los 
plugins que usará. La figura 2 nos muestra 
la GUI donde elegimos los plugins desea- 
dos para el caso de un cliente Windows. 
Los plugins se pueden habilitar por familia 
o individualmente. Como ya referimos, es 
posible pedir no usar plugins intrusivos 
(botón: “Enable Non-DoS”(habilite No- 
Denial of Service, negación de Servicio). 


figura 2 GUI del cliente Nessus mostrando 
la elección de plugins 


AT=TES 


NESSUS lanza el 
“Manage Session 
Result” (un resu- 
men ordenado de 
los resultados para 
cada máquina es- 
tudiada) 

(figura 3 y 4). 
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d wm CODA 
wan (ODM 
ve (141/0851 


0 
. 

ey A) 
¿ 89 (1 aga 
í 
4 


O mus 


uta (1 ?Acek 
perras SUMA 
veas MAJA) 
Y epa 
retro CLA 


retar ta (177051 
mmnrarra ALA O) 
s "tm ser DIO 


10163151 


10103194 10 
1016311416 
10143 114 205 


uta not 


Ue pertormarca Peotora) 
EN a ] 


- Gaerl accogtrmo Gerti0d 07) 
Turtart ser 8 1000) 

- tirones pa 1001) 

- Mato Aretes: pá 1005) 
A 114 0Ab00 de 1000) 

» TRHAM_GABDO (6 1904) 

- De P User pt 100%) 

- Do Ario ars 08 Y DOE 
WR nen 08 1907) 


Pas factor Meda 


Cvt Cwt-2009-1:00 
bo ys 


The not O con de wmed do enanerato De names al Pe local ren 
(00 000 end an rana e O deter 1000 an 1008 
Ma gres exbs iroutetzs y an atar «tech 


Almenar cart rama AI 4 O) 


o di 


The bolt YO (as de ettarad mite De e 
CABO 21-24221208-1 14I988364- 7144001392 


An arar Can ve 1 ct Pe DA Sl e 10 ns Ol e 
A sonacn Mer te parta 137 %0 139 ara 443 


figura 3. Cliente Linux de Nessus con un 
report. 


por su peligrosidad: high, médium o low 
(alta, media o baja). Terminado el Scan, 


El resultado del 
scan aparece en 
otra ventana. Allí 
se puede ver el 
progreso en 
tiempo real. Las 
vulnerabilidades 
encontradas son 
clasificadas 


Warnings, Infos y 


Alertas, Infos y 


figura 4 GUI bajo cliente WS: Manage 


uno puede exportar la salida a archivos 
HTML, PDF o TXT. Tambien es posible ex- 
portar para MySQL o archivo propietario. 


En la info provista aparece una descripción 
de los problemas hallados. La salida no es 
muy sofisticada y aparece como una larga 
lista.a estudiar. 


NESSUS y Tenable Networ. 
Security (Historia y negocio) 


Nessus es el scanner de vulnerabilidades 
open-source más popular del mundo. Y, 
es usado mundialmente por cerca de 
75.000 organizaciones que le permiten 
auditar dispositivos y aplicaciones “críti- 
cos” a un costo cero. 


El proyecto Nessus fue comenzado por 
Renaud Deraison en 1998 con la idea de 
proveer a la comunidad de Intenet un 
scanner remoto de seguridad gratis, 
poderoso, actualizado y de muy sencillo 
uso. Está ubicado actualmente entre los 
productos más prestigiosos de la industria 
de seguridad y avalado por organiza- 
ciones muy prestigiosas tales como el 
SANS Institute (www.sans.org). 


En el año 2002, Renaud co-fundó Tenable 


Network Security (www.tenablese 
curity.com) conjuntamente con Ron Gula, 
creador de Dragon Intrution Detection 
System y Jack Huffard. Esta empresa es 
la única desarrolladora y licenciadora del 
código Nessus, la marca “Nessus” y del 
dominio nessus.org. Está ubicada en 
Columbia, MD, USA. 

Tenable ofrece productos de software fo- 
calizados en 3 áreas de la seguridad de la 
información: >>Decubrimiento de vulnera- 
bilidades y Administración 
>>Administración de Eventos de seguri- 
dad 

>>Comunicación Técnica y Ejecutiva » 
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Se denomina así cuando la herra- 
mienta usada trata de realizar un 
“exploit” de la vulnerabilidad encon- 
trada en la máquina que estudia. 
Diferentes herramientas usan distin- 
tos niveles de intrusión. Debemos 
tener mucho cuidado al realizar estos 
tests de no ejecutar (por error) un 
exploit sobre un sistema en produc- 
ción. 


Common Vulnerabilities and 
Exposures (CVEO) es: 


Una lista de nombre estandarizados 
de vulnerabilidades y otra informa- 
ción sobre “exposures” de seguridad. 
CVE pretende estandarizar los 
nombres de todas las vulnerabili- 
dades y debilidades de seguridad 
conocidas públicamente. 

>> CVE es un diccionario, NO una 
Base de Datos 

>> CVE es un esfuerzo COMUNI- 
TARIO 

>> Está abierto a ser revisado o 
bajado (downloaded). 


Nota: CVE considera que el término 
“vulnerabilidad” tiene diferentes usos. 
Por tanto es importante hacer una 
distinción cuando es necesario. Se 
introdujo el término “security expo- 
sure” de modo de poder referirse a 
hechos de seguridad que justamente 
NO conforman dentro de “vulnerabili- 
dad” para todo el mundo. Por 
ejemplo, este modo más restrigido de 
entender al término vulnerabilidad 
hace que por ejemplo se ponga a 
“finger” como una “exposure”. 
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¿Qué es BugTraq? 


(extractado de las FAQ de www.securityfocus.com) 

BugTraq es un “maling list” (lista de personas suscriptas para recibir e-mails) de ex- 
posición completa y moderada, para la discusión “detallada” y anuncios de vulnerabili- 
dades en la seguridad de computadoras: qué son, cómo abusar de ellas (“exploit”) y 
cómo solucionarlas. 


¿Cuál sería un contenido apropiado? 


Uno deberá seguir los siguientes lineamientos sobre qué tipo de información deberá 
ser posteada en la lista de Bugtrag;: 


>>Información sobre vulnerabilidades en seguridad de computadoras y redes (UNIX, 
Windows NT y otros) 

>>Programas de “exploit” (abuso), scripts o procesos detallados referidos al punto an- 
terior 

>>Patches (parches), “workarounds”(como encontrarle la vuelta) y “fixes” (arreglos). 
>> Anuncios, consejos o avisos. 

>> Ideas, planes futuros o trabajo en progreso relacionados con seguridad en 
redes/computadoras. 

>> Material de información relativo a contactos en vendors (fabricantes) y procedimien- 
tos. 

>> Consejos de incidentes o reportes informativos. 

>> Herramientas de seguridad nuevas o mejoradas. 


¿Qué contenido es inapropiado? 


>> Propaganda de productos 

>> Preguntas básicas (“how to's”) 

>> Material de seguridad que nada tiene que ver con redes/computadoras. 

>> Información sobre otro nuevo troyano o virus, a menos que sea muy especial. 


¿La lista se encuentra moderada? 
Sí y es Dave Ahmad <da(Osecurityfocus.com> el moderador. 
Breve Historia 


¿Cuándo se creó BugTraq? 


BugTraq fue creada en Noviembre 5, 1993 por Scott Chasin. Aleph One tomó mando 
el martes 14 de Mayo de 1996. Sobre los años, se ha transformado en una lista de se- 
guridad muy respeta con más de 27.000 suscriptores. 


¿Cómo fue que se hízo moderada? 


Esto sucedió el 5 de Junio de 1995. Al mismo tiempo se la movió a netscape.org. Se 
hizo moderada cuando el nivel de ruido se volvió inaceptable. 


¿Cómo me suscribo? 


Enviar un e-mail a bugtraq-subscribe(Wsecurityfocus.com. El contenido del tema o 
cuerpo del mensaje no tienen importancia. Ud. Recibirá un email, respuesta, que 
deberá contestar. 


ETHICAL HACKING 


Linux, con la lupa en la seguridad. 


Fuente: www.hispasec.com 


A continuación vamos a enumerar una lista 
de distribuciones Linux que ponen énfasis en 
las herramientas para aumentar los niveles 
de seguridad. Es importante aclarar que 
todas funcionan como “Live CD” lo que quiere 
decir que se ejecutan directamente desde el 
CD, no hace falta instalarlas. Esto es particu- 
larmente útil en los casos en que lo que nece- 
sitamos es una herramienta para revivir el 
disco o recuperar los datos. 


Como varias de las distribuciones que pre- 
sentamos a continuación están basadas en 
Knoppix, comentaremos que esta distribución 
es un CD arrancable con una colección de 
programas GNU/Linux software, detección 
automática de hardware, y soporte de 
muchas tarjetas gráficas, tarjetas de sonido, 
dispositivos SCSI y USB y otros periféricos. 
KNOPPIX puede ser usuado como una demo 
de Linux, CD educacional, sistema de 
rescate, o adaptado y usado como plataforma 
comercial de demos de productos. Como ya 
hemos dicho NO es necesario instalar nada 
en el disco duro. Debido a la descompresión 
en demanda el CD tiene casi 2 GB de progra- 
mas ejecutables instalados en él. 


KNoOPPIX.net 


Knoppix STD 0.1b 


STD (Security Tools Distribution) es una versión 
personalizada de Knoppix. Utiliza el núcleo 
2.4.20 y KDE 3.1, da soporte a una gran cantidad 
de dispositivos de hardware (que son detectados 
y configurados automáticamente). Cuando se 
arranca la máquina con Knoppix STD, no se 
realiza ningún tipo de modificación en la configu- 
ración de la computadora. 


Todas las herramientas de Knoppix, al igual que 
toda la distribución, están diseñadas para ser e- 
jecutadas directamente desde el CD y están divi- 
didas en varias categorías: herramientas para la 
gestión de redes; herramientas para la rea- 
lización de valoraciones de seguridad y he- 
rramientas para la realización de pruebas de 
redes; un gran número de herramientas para la 
realización de pruebas de penetración, sniffers; 
herramientas para el análisis forense, cortafue- 
gos, honeypots, sistemas de detección de intru- 
siones ; autenticación, identificación de con- 
traseñas y cifrado. 


LocalAreaSecurity 0.4 


Muy pequeña (185 MB), pensada para ins- 
talarse en un CD chico, como los tipo 


tarjeta de crédito. También está basada en 
Knoppix y utiliza el núcleo 2.4.20. 
LocalAreaSecurity está pensado para la rea- 
lización de pruebas de verificación de la se- 
guridad y pruebas de penetración. Para eso 
cuenta con un gran número de herramientas 
especializadas: sniffers, cifrado, monitoreo de 
redes, detección de información oculta, ob- 
tención de información, etc. 


Phlak (Profesional Hacker's Linux 
Assault Kit) 0.1 


Basado en Morphix. Viene con dos GUI li- 
vianas (fluxbox y XFCE4). Está especializada 
en la realización de análisis de seguridad, 
pruebas de penetración, análisis forense y 
auditorios de seguridad. 

Incluye herramientas de análisis de tráfico, de 
protocolos, de funcionamiento del sistema, de 
extracción de datos de sistemas de archivos, 
cifrado de archivos, sniffers, etc. 


R.I.P. (Recovery Is Possible) 


Esta distribución, está pensada para recu- 
perar datos de sistemas de archivos 
dañados. Funciona con Iso sistemas de 
archivos ext2, ext3, reiser, jfs, xfs, ufs, 
NTFS, FAT16 y FAT32. 


WARLINUX 0.5 
Es una distribución live CD pensada es- 
pecíificamente para identificar las redes 


inalámbricas que están al alcance y re- 
alizar auditorías y verificaciones de los 


F.I.R.E. 


niveles de seguridad de las mismas. 
SOURCEK RGE “Y 
oNet 

Esta versión de Linux incluye las he- 
rramientas necesarias para la real- 
ización de valoraciones de seguridad, 
respuesta a incidentes de seguridad, 
pruebas de penetración y análisis 
forense de sistemas y recuperación de 
datos en sistemas Windows, Solaris 
(SPARC) y Linux (x86). Adicionalmente, 
FERIO incluye un programa para la de- 


tección de virus (F-Prot). 
Existen otras distribuciones similares a 


estas: Penguin, Sleuth Kit, (Ustake 
Pocket Security Toolkit v3.0, 
ThePacketMaster, Linux Security 


Server y Trinux. 


Más Información: 


Knoppix-STD 
http://www.knoppix-std.org/ 


LocalAreaSecurity Linux 
http://www.localareasecurity.com/ 


PHLAX 
http://www.phlak.org/ 


RIP Linux 
http://www.tux.org/pub/people 
/kent-robotti/looplinux/rip/ 


WARLINUX 
http://sourceforge.net/projects/warlinux/ 


FIRE 
http://biatchux.dmzs.com/ 


Penguin Sleuth Kit 
http://www. linux-forensics.com 
Idownloads.html 


(Ostake Pocket Security Toolkit v3.0 
http://www.atstake.com/research/tools 
Ipst/ 


ThePacketMaster Linux Security Server 
http://freshmeat.net/projects 
Itomsecurityserver/ 


Trinux 
http://trinux.sourceforge.net/ 


Lo anterior evidencia que existe una 
enorme cantidad de herramientas 
puestas a nuestra disposición. 


Lo más interesante de esto es que 
podemos contar con sistemas ope- 
rativos completamente funcionales 
sin necesidad de instalarlos, esto es 
muy útil, cuando NO PODEMOS ins- 
talarlos justamente debido a que 
nuestro sistema ha dejado de res- 
ponder. 


Aunque debemos destacar que la 
existencia de estas herramientas no 
nos absuelve de la responsabilidad 
de realizar backups de nuestros 
datos ni de prestar la debida aten- 
ción a las configuraciones de se- 
guridad de nuestras redes; el dicho 
es muy viejo pero sigue siendo 
cierto y muy aplicable a las 
Tecnologías de la Información: 
“mejor prevenir que curar”. 


de! 
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; dE 
" Panda Software 


PROTECCIÓN CONTRA VIRUS E INTRUSOS 


El mejor antivirus 


del mercado 
Titanium ».. d hora la nZa 


su línea 


¡Secure 


con ecnolcolas TruPre 


hw) 


esSecure 


con Sdo ía s TruPreve 


EnterpriSecure 
con Tecnologías TruPrevera 


BusinesSecure 


incluyen 
TECNOLOGIAS TRUPREVYENT 


Las tecnologías más inteligentes 
contra virus desconocidos e intrusos. 


Distribuidor Mayorista o 
Dast Informática S.R.L. 


Viamonte 1546 Piso 8 
DAST C1055ABD Ciudad de Buenos Aires 
Tel.: 011 5032-7800 Fax: 5032-8694 


ventasOpandaantivirus.com.ar 
www.pandaantivirus.com.ar 


Microsoft 


Microsoft 
centiriso 


Security WEB Design 


LINUX 


SUPLEMENTO GUÍA CURSOS Y CARRERAS 


- | AGOSTO 2004 A 31 JuLio 2005 
>> Carrera Microsoft Certified Systems Administrator (MCSA) Windows 2003 ............ . Página 1 
>> Carrera Microsoft Certified Systems Engineer (MCSE) Windows 2003 ................... Página II 
>> Carrera Desarrollo... NETFY:CHRMCAD:S MESD. coacoronsccnoncrareconansonenraenacaroreransesss Página 111 
>> Carreras COR Security / WEB Design: Completa y EXpert .....omommmmmmmooo. LL Página IV 
>> Carrera Linux: Completa, Avanzada y EXpert ....oooccccconocoorccocaccorarorncororeconccnrocnoss Página V 


Garantía de Educación 


Un alumno, cuando 
"compra" un curso no 
busca otra cosa más 
que ADQUIRIR UN 
APRENDIZAJE, 
capacitarse, 
aprender, y crecer en 
el mundo de IT 
conociendo siempre 
las últimas 


tecnologías. La Garantía de aprendizaje 
COR, permite a TODOS los alumnos re- 
cursar cuantas veces sea necesario las 
Carreras o Cursos de COR TECH. 


Aprovechá la posibilidad de volver a hacer 
tus cursos; ya sea si te quedaste con 
dudas, o faltaste alguna que otra clase, o 
simplemente porque deseas conocer el 
perfil de otro profesor o volver hacer el 
curso para conocer gente nueva. 


En COR mo comprás UN CURSO; comprás 
UN APRENDIZAJE (y queremos 
asegurarnos de dártelo). 


¡COR 


Consultora en tación Informática 
Consultora en Seguridad Informática 


Garantía de Precio 


COR Technologies 
garantiza ofrecerte un 
precio 10 % más bajo 
para cualquier 
presupuesto de 
Educación o consultoría 
. en Buenos Aires o en el 
Interior del País. 

Presentando el 
presupuesto de la 


competencia (ya sea por escrito o por e- 
mail; para un mínimo de 2 Alumnos ó 
mínimo de $1000) COR te brinda la 
Capacitación o la Solución buscada a un 
costo 10 % mas bajo (sólo multiplicá tu 
presupuesto por 0,90 y obtené el precio 
que te ofrece COR). 


a. 


dd 


La Garantía de precio será respetada 
siempre y cuando el precio cobrado 
finalmente mo sea menor al costo de 
realizar la Capacitación / Consultoría, COR 
Technologies se reserva el derecho de 
validación de los presupuestos 
propiamente presentados. 


www.cortech.com.ar 


Garantía de Consultoría 


Una característica 
de nuestras 
consultorías es que 
COR garantiza la 
Ilcompleta 
conformidad de 
Cliente; o se 
reintegra el monto 
total de lo abonado para la misma, La 
Garantía de Consultoría permite al cliente 
estar confiado de que recibirá lo que 
desea; y que COR garantiza el resultado 
del problema mediante la Solución 
oportunamente propuesta. 


ns Cheks 


COR premia la Capacitación 
entregándole a todos nuestros 
alumnos la suma 
correspondiente de CORCheks. 
Cada CORChek es equivalente 
a un Peso; para ser utilizado en 
cualquiera de nuestros Cursos 
y Carreras. Los CORCheks no son 
transferibles; y no pueden utilizarse junto a 
otras promociones. 


Microsoft Certified Systems Administrator (MCSA) 


Windows 2003 


CERTIFIED CERTIFIED 


Technical Educatior 
Center 


Partner 
for Learning Solutions 


EXAMEN - Client 


Examen 70-270: Installing, Configuring, 
and Administering Microsoft Windows 
XP Professional 


EXAMEN - Networkina 


Examen 70-290: Managing and Maintaining 
a Microsoft Windows Server 2003 Environment 


Examen 70-291: Implementing, Managing, and 
Maintaining a Microsoft Windows Server 2003 
Network Infrastructure 


EXAMEN - Elective 


Examen 70-227: Instailling, Configuring. and 
Administering Microsoft Internet Security 
and Acceleration (ISA) Server 2000, 
Enterprise Edition 


fi Cursos: 5 (cinco 


Microsoft Certified Systems Administrator (MCSA Sec.) 


Security on Windows 2003 


EXAMEN - Client 


Examen 70-270: Installing, Configuring, 
and Administering Microsoft Windows 
XP Professional 


EXAMEN - Networking 


Examen 70-290: Managing and Maintaining 
a Microsoft Windows Server 2003 Environment 


Examen 70-291: Implementing, Managing, and 
Maintaining a Microsoft Windows Server 2003 
Network Infrastructure 


EXAMEN - Elective 


Examen 70-227: Installing, Configuring, and 
Administering Microsoft Internet Security 
and Acceleration (ISA) Server 2000, 
Enterprise Edition 


Examen 70-299: Implementing and 
Administering Security in a Microsoft 
Windows Server 2003 Network 


fí Cursos: 6 (seis 


MOC's incluidos: 5 (cinco; 


MOC's incluidos: 6 (seis 


CURSO - Client 


Curso 2285: Installing, Configuring, and 
Administering Microsoft Windows XP 
Professional (Duración 16 hs) 


CURSO - Networking 


Curso 2273: Managing and Maintaining a 
Microsoft Windows Server 2003 
Environment (Duración 40 hs) 


Curso 2276: Implementing a Microsoft Windows 
Server 2003 Network Infrastructure: Network 
Hosts (Duración 16 hs) 


Curso 2277: Implementing, Managing. and 
Maintaining a MS Windows Server 2003 Network 
Infrastructure: Network Services (Duración 40 hs) 


CURSO -Elective 
Curso 2159: Deploying and Managing Microsoft 


Internet Security and Acceleration Server 2000 
(Duración 24 hs) 


Duración Total: 136 hs 


II Track Recomendado // 


CURSO -Client 

Curso 2285: Installing, Configuring, and 
Administering Microsoft Windows XP 
Professional (Duración 16 hs) 


CURSO - Networking 


Curso 2273: Managing and Maintaining a 
Microsoft Windows Server 2003 
Environment (Duración 40 hs) 


Curso 2276: Implementing a Microsoft Windows 
Server 2003 Network Infrastructure: Network 
Hosts (Duración 16 hs) 


Curso 2277: Implementing, Managing, and 
Maintaining a MS Windows Server 2003 Network 
Infrastructure: Network Services (Duración 40 hs) 


CURSO - Elective 


Curso 2159: Deploying and Managing Microsoft 
Internet Security and Acceleration Server 2000 
(Duración 24 hs) 


Curso 2823: Implementing and Administering 
Security in a Microsoft Windows Server 2003 
Network (Duración 40 hs) 


Duración Total: 176 hs 


Fechas Inicio Calendario 
MCSA y MCSA Security 


12-10-04 M-J 
13-10-04 L-M-V 
02-11-04 M-J 
10-11-04 L-M-V 
15-11-04 L-M-V 
04-01-05 M-J 
14-01-05 L-M-V 
19-01-05 L-M-V 
08-02-05 M-J 
11-02-05 L-M-V 
18-02-05 L-M-V 
15-03-05 M-J 
18-03-05 L-M-V 
10-03-05 M-J 
19-04-05 M-J 
14-04-05 M-J 
13-04-05 L-M-V 
04-05-05 M-J 
10-05-05 M-J 
18-05-05 L-M-V 
07-06-05 M-J 
15-06-05 L-M-V 
17-06-05 L-M-V 
05-07-05 M-J 
13-07-05 L-M-V 
15-07-05 L-M-V 


HORARIO 
9.00 a 13.00 
18.30 a 22.30 
18.30 a 22.30 
9.00 a 13.00 
9.00 a 13.00 
18.30 a 22.30 
18.30 a 22.30 
9.00 a 13.00 
18.30 a 22.30 
9.00 a 13.00 
18.30 a 22.30 
9.00 a 13.00 
18.30 a 22.30 
18.30 a 22.30 
9.00 a 13,00 
9.00 a 13.00 
9,00 a 13.00 
18.30 a 22.30 
9.00 a 13.00 
18.30 a 22.30 
18.30 a 22.30 
18.30 a 22.30 
9.00 a 13.00 
9.00 a 13.00 
18.30 a 22.30 
9.00 a 13.00 
18.30 a 22.30 
9.00 a 13.00 
18.30 a 22.30 
9.00 a 13.00 
18.30 a 22.30 
18.30 a 22.30 
9.00 a 13.00 


Para más información sobre la carrera MCSA Windows 2003 visitá www.cortech.com.arims/mesa.htm ó www.microsoft.com/learningimcp/mcsa/dofault.asp 


Certificaciones Internacionales 


¿Dónde se pueden rendir los exámenes para certificarme como 
MCSA y/o MCSE? 

Podés hacer los exámenes en cualquier centro CTEC (Certified 
Training Education Center) de tu localidad que provea exámenes VUE: 
Virtual Universities Enterprise (ver www.vue.com) 


Deberás entonces reservar tu turno de examen y abonar el costo 
correspondiente de 125.00 USS en U.S.A. por examen; y 80.00 USS 
en Argentina (tarifas adicionales o descuentos pueden aplicarse en 
otras regiones). 


COR 
Cra en Seguridad mermas 


www.cortech.com.ar 


Todos los Tracks MCSA 


¿Cuáles son los Exámenes que debo tomar para recibirme de 
MCSA? 

Existen muchisimas combinaciones de Exámenes para recibirse de 
MCSA: Microsoft Certified Systems Administrator. Cada una con 
diferentes especializaciones y electivos para tomar. 

MCSA 

http://Awww.cortech.com.ar/igen/mcsawin2003.pdf 
http:/Awww.cortech.com.ar/gen/MCSASec2000-2003.pdf 
http:/Awww.cortech.com.ar/gen/MCSAMes2000-2003.pdf 
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Microsoft Certified Systems Engineer (MCSE) 


Windows 2003 


CERTIFIED 


Technical Education 
Center 


CERTIFIED 


Partner 
for Learning Solutions 


EXAMEN - Client 
Examen 70-270: Installing, Configuring, 


and Administering Microsoft Windows 
XP Professional 


EXAMEN - Networking 


Examen 70-290: Managing and Maintaining 
a Microsoft Windows Server 2003 Environment 


Examen 70-291: Implementing, Managing, and 
Maintaining a Microsoft Windows Server 2003 
Network Infrastructure 


Examen 70-293: Planning and Maintaining a 
Microsoft Windows Server 2003 
Network Infrastructure 


Examen 70-294: Planning, Implementing, and 
Maintaining a Microsoft Windows Server 2003 
Active Directory Infrastructure 


EXAMEN - Design 


Examen 70-298: Designing Security for a 
Microsoft Windows Server 2003 Network 


EXAMEN - Elective 


Examen 70-227: Installing, Configuring, and 
Administering Microsoft Internet Security 
and Acceleration (ISA) Server 2000, 
Enterprise Edition 


CURSO - Client 

Curso 2285: Installing, Configuring, and 
Administering Microsoft Windows XP 
Professional (Duración 16 hs) 


CURSO - Networking 


Curso 2273: Managing and Maintaining a 
Microsoft Windows Server 2003 
Environment (Duración 40 hs) 


Curso 2276: Implementing a Microsoft Windows 
Server 2003 Network Infrastructure: Network 
Hosts (Duración 16 hs) 


Curso 2277: Implementing, Managing, and 
Maintaining a MS Windows Server 2003 Network 
Infrastructure: Network Services (Duración 40 hs) 


Curso 2278: Planning and Maintaining a 
Microsoft Windows Server 2003 
Network Infrastructure (Duración 40 hs) 


Curso 2279: Planning, Implementing, and 
Maintaining a Microsoft Windows Server 2003 
Active Directory Infrastructure (Duración 40 hs) 


CURSO - Design 


Curso 2830: Designing Security for Microsoft 
Networks (Duración 24 hs) 


CURSO - Elective 
Curso 2159: Deploying and Managing Microsoft 


Internet Security and Acceleration Server 2000 
(Duración 24 hs) 


Microsoft Certified Systems Engineer (MCSE Sec.) 
Security on Windows 2003 (Carrera uCSE + Examen 70-299) 


Examen 70-299: Implementing and 
Administering Security in a Microsoft 
Windows Server 2003 Network 


Microsoft Certified Systems Engineer // track Recomendado // 
Securi 


Examen 70-297: Designina a Microsoft 
Windows Server 2003 Active Directory 
and Network Infrastructure 


MOC's incluidos: 10 (di 


+ 2282 on Win. 2003 (Carrera MCSE Security + Examen 70-297) 


Curso 2823: Implementing and Administering 
Security in a Microsoft Windows Server 2003 


Network (Duración 40 hs) 


Curso 2282: Designing a Microsoft Windows 
Server 2003 Active Directory and Network 
Infrastructure (Duración 40 hs) 


4 s 


Fechas Inicio Calendario 
MCSE, MCSE Security y MCSE Sec + 2282 


INICIO. DIAS HORARIO 
10-08-04 M-J  9.00a13.00 
20-08-04 L-M-V 18.30 822.30 
19-08-04 M-J 183082230 
10-09-04 L-M-V 9.00a13.00 
16-09-04 M-J 90021300 
15-09-04 L-M-V 18.30 a 22.30 
12-10-04 M-J 183082230 
19-10-04 M-J  9.00813.00 
20-10-04 L-M-V 18.30 222.30 
09-11-04 M-J  900813.00 
17-11-04 L-M-V 18.308 22.30 
24-11-04 L-MV  9.00813.00 
11-01-05 M-J 183082230 
21-01-05 L-MV  18.30a 22.30 
26-01-05 L-M-V 9.008 13.00 
15-02-05 M-J  9.00813.00 
18-02-05 L-M-V 90081300 
25-02-05 L-M-V 18.30 822.30 
22-03-05 M-J 900213.00 
25-03-05 L-M-V 18.30 a 22.30 
, 17-03-05 M-J 18302230 
E 26-04-05 M-J 183082230 
21-04-05 MJ 900a13.00 
20-04-05 L-M-V 900213.00 
10-05-05 MJ 183032230 
17-05-05 MJ 9.00a13.00 
25-05-05 L-M-V 18.30 822.30 
14-06-05 M-J  9.00a13.00 
22-06-05 L-M-Y 183082230 
24-06-05 L-M-V  9.00813.00 
12-07-05 M-J 183022230 
20-07-05 L-MV 18302230 
22-07-05 L-M-V  9.00a13.00 


Duración Total: 320 hs 


Para más información sobre la carrera MCSE Windows 2003 visitá www.cortech.com.arimsímese.htm ó www.microsoft.com/learning/mcpímese/default.asp 


Todos los Tracks MCSE 


¿Cuáles son los Exámenes que debo tomar para recibirme de 
MCSE? 


Existen muchisimas combinaciones de Exámenes para recibirse de 
MCSE: Microsoft Certified Systems Engineer. Cada una con diferentes 
especializaciones y electivos para tomar. 

MCSE 

http:/Awww.cortech.com.ar/gení/mcsewin2003.pdf 
http://www.cortech.com.ar/gen/MCSESec2000-2003.pdf 
http://www.cortech.com.ar/gen/MCSEMes2000-2003.pdf 


www.cortech.com.ar 


Logos MCP 


¿Cuáles son los logos que podré utilizar cuándo me reciba de MCP, 
MCSA, MCSE, MCDBA, MCAD ó MCSD?¿Existe alguna diferencia 
entre los logos con especializaciones en Security, Messaging, 
etc..? 


Al finalizar de haber rendido todos los Exámenes de cada Carrera 
Microsoft, podrás utilizar el logo correspondiente. Todos las Carreras 
(como así tambien las especializaciones) poseen un logo diferente, 


Podés encontrar todos los logos Microsoft correspondientes en 
http /www.microsoft.com/learningímcepexams/faq/logo.asp 


SUPLEMENTO GUÍA CURSOS Y CARRERAS 
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Microsoft Certified Application Developer (MCAD) 


Visual Basic .NET 


EXAMEN - Módulo | 


Examen 70-305: Developing and Implementing 
Web Applications with MicrosoftD Visual 
BasicE) .NET and Microsoft) Visual 

Studiod NET 


EXAMEN - Módulo ll 


Examen 70-310: Developing XML Web 


Services and Server Components with 
Microsoft9 Visual BasicO .NET and the 
Microsoft) NET Framework 


EXAMEN - Módulo lll 


Examen 70-229: Designing and impl. Databases Curso 2073: Programming a Microsoft SOL Server 


with MS SOL Server 2000** Enterprise Edition 
fí Cursos: 6 (seis 


Microsoft Certified Solution Developer (MCSD) 


Visual Basic .NET (Carrera MCAD + Examen 70-300 + Examen 70-306) 


EXAMEN - Módulo IV 

Examen 70-300: Analyzing Requirements 4 
Defining .NET Solution Architectures 
EXAMEN - Módulo V 


Examen 70-306: Developing 4 Impementing 
Windows-based Applications with Microsoft 
Visual Basic .NET £ MS Visual Studio .NET 


MOC's incluidos: 8 (ocho 


CERTIFIED CERTIFIED 


Technical Educatior 
Center 


Partner 


CURSO - Módulo | for Learning Solutions 


Curso 2559: Introduction to Visual Basic NET 
Programming with Microsoft NET (Duración 20 hs) 


Curso 2310: Developing Microsoft ASP.NET Web 
Applications Using Visual Studio .NET (Duración 40 hs) 


CURSO - Módulo Il 


Curso 2415: Programming with the Microsoft) NET 
Framework (Microsoft V. BasicB NET) (Duración 40 hs) 


Curso 2524: Developing XML Web Services Using 
Microsoft) ASP.NET (Duración 20 hs) 


Curso 2557: Building COM+ Applications Using 
Microsoft NET Enterprise Services (Duración 20 hs) 


CURSO - Módulo lll 


SQL Server 


Las dos Certificaciones de SQL más importantes 
son: Examen 70-228 (Installing, Configuring, 
and Administering Microsoft SOL Server 2000 


2000 Database (Duración 40 hs) o alados Ol Roco 


Duración Total: 180 hs 


Databases with Microsoft 
SOL Server 2000 Enterprise Edition). 


Estos Exámenes podrán rse con los 
Cursos Oficiales 2072 (Administering a MS-SQL 
Server 2000 Database) y 2073 (Programming a 
MS-SQL Server 2000 Database) 


CURSO - Módulo IV 


Fechas Inicio Calendario 
MCAD Y. Basic. MCSD y MCAD CH 


Curso 2710 : Analyzing Requirements and Defining NET 
Solution 


Architecture (Duración 40 hs) 


CURSO - Módulo V 


Curso 2565: Developing Microsoft NET Applications for 
Windows (Visual Basic NET) (Duración 20 hs) 


Duración Total: 240 hs 


Microsoft Certified Application Developer (MCAD) 


CAY NET 


EXAMEN - Módulo | 


Examen 70-315: Developing and Implementing 
Web Applications with Microsoft Visual 
C4f"" NET and Microsoft Visual Studio NET 


EXAMEN - Módulo 1l 


Examen 70-320: Developing XML Web 
Services and Server Components with 
Microsoft Visual Cf and the Microsoft 
.NET Framework 


EXAMEN - Módulo lll 


Examen 70-229: Designing and impl. Databases 
with MS SQL Server 2000** Enterprise Edition 


1/ Track Recomendado // 


CURSO - Módulo | 


Curso 2609: Introduction to CH Programming with 
Microsoft NET (Duración 20 hs) 


Curso 2310: Developing Microsoft ASP.NET Web 
Applications Using Visual Studio .NET (Duración 40 hs) 


CURSO - Módulo ll 


Curso 2349: Programming with the Microsoft NET 
Framework (Microsoft Visual CHF .NET).(Duración 40 hs) 


Curso 2524: Developing XML Web Services Using 
Microsoft) ASP.NET (Duración 20 hs) 


Curso 2557: Building COM+ Applications Using 
Microsoft NET Enterprise Services (Duración 20 hs) 


CURSO - Módulo lll 


Curso 2073: Programming a Microson SOL Server 
2000 Database (Duración 40 hs) 


INICIO DIAS 


12-10-04 M-J 
13-10-04 L-M-V 
02-11-04 M-J 
10-11-04 L-M-V 
15-11-04 L-M-V 
04-01-05 M-J 
14-01-05 L-M-V 
19-01-05 L-M-V 
08-02-05 M-J 
11-02-05 L-M-V 
18-02-05 L-M-V 
15-03-05 M-J 
18-03-05 L-M-V 
10-03-05 M-J 
19-04-05 M-J 
14-04-05 M-J 
13-04-05 L-M-V 
04-05-05 M-J 
10-05-05 M-J 
18-05-05 L-M-V 
07-06-05 M-J 
15-06-05 L-M-V 
17-06-05 L-M-V 
05-07-05 M-J 
13-07-05 L-M-V 
15-07-05 L-M-V 


HORARIO 
9,00 a 13.00 
18.30 a 22.30 
18.30 a 22.30 
9.00 a 13.00 
9.00 a 13.00 
18.30 a 22.30 
18.30 a 22.30 
9.00 a 13,00 
18.30 a 22.30 
9.00 a 13.00 
18.30 a 22.30 
9.00 a 13,00 
18.30 a 22.30 
18.30 a 22.30 
9.00 a 13,00 
9.00 a 13.00 
9.00 a 13,00 
18.30 a 22.30 
9.00 a 13.00 
18.30 a 22,30 
18.30 a 22.30 
18.30 a 22.30 
9.00 a 13.00 
9.00 a 13.00 
18.30 a 22.30 
9.00 a 13.00 
18.30 a 22.30 
9.00 a 13.00 
18.30 a 22.30 
9.00 a 13.00 
18.30 a 22.30 
18.30 a 22.30 
9.00 a 13.00 


Para más información sobre la carrera MCAD .NET, MCSD y MCAD CH visitá www.cortech.com.arims/ms4.htm ó www.microsoft.com/learningimcp/imcad/ 


Links Microsoft 


¿Existe algún link en donde se puedan ver todos los Exámenes 
actuales de Microsoft y todos sus Cursos Oficiales asociados? 


Para ver todos los Exámenes Microsoft vigentes que existen visitá 
www.microsoft.com/learning/mcpexams/prepare/findexam.asp 
Allí los podrás visualizar por Carreras o por número de Examen. 


Y para ver todos los Cursos Oficiales vigentes visitá 
www.microsoft.com/traincert/training/find/findcourse.asp 
Allí podrás visualizarlos por Producto o por número de Curso, 


COR rechnoiogies 


www.cortech.com.ar 


suena en Seguridad orales 


Carrera MCDBA 


¿Cuáles son los exámenes que debo tomar para realizar la Carrera 
MCDBA? 


Para ver el listado completo de todas las opciones que existen para 
convertirte en Microsoft Certified Data Base Administrator (MCDBA) te 
recomendamos visitar la siguiente página WEB: 
http://www.microsoft.com/learning/mcp/mcdba/default.asp. 


El Track recomendado para convertirte en MCDBA es realizar la Carrera 
MCSE de 240 hs de Duración (7 Exámenes) + los Exámenes de SQL 
Server 70-228 (Administering) y 70-229 (Programming) 


SUPLEMENTO Guía CURSOS Y CARRERAS 
- | AGOSTO 2004 A 31 Jutio 2005 


Fechas Inicio Calendario 
WEB Design Completa y Expert 


INICIO. DIAS 
06-08-04 L-M-W 
12-08-04 M-J 
17-08-04 M-J 
04-09-04 S 
08-09-04 L-M-W 
16-09-04 M-J 
01-10-04 L-M-Y 
07-10-04 M-J 
13-10-04 L-M-V 
06-11-04 S 
10-11-04 L-M-Y 
18-11-04 M-J 
07-01-05 L-M-W 
13-01-05 M-J 
18-01-05 M-J 
05-02-05 S 
11-02-05 L-M-V 
17-02-05 M-J 
04-03-05 L-M-W 
17-03-05 M-J 
18-03-05 L-M-W 
09-04-04 S 
08-04-05 L-M-V 
21-04-05 M-J 
13-05-04 L-M-V 
12-05-05 M-J 
19-05-05 M-J 
11-06-05 S 
15-06-05 L-M-V 
16-06-05 M-J 
06-07-05 L-M-W 
14-07-05 M-J 
20-07-05 L-M-Y 


Carrera COR Security // Track Recomendado // 
SEC1 + SEC2 + Especialización (a elección) 


EXAMEN - CISSP 


HORARIO 
9.30 a 12.30 
18.30 a 21.30 
14.00 a 17.00 
10.00 a 13.00 
18.30 a 21.30 
9.30 a 12.30 
9.30 a 12.30 
18.30 a 21.30 
14.00 a 17.00 
10.00 a 13.00 
18.30 a 21.30 
9.30 a 12.30 
9.30 a 12.30 
18.30 a 21.30 
14.00 a 17.00 
10.00 a 13.00 
18.30 a 21.30 
9.30 a 12.30 
9.30 a 12.30 
18.30 a 21.30 
14.00 a 17.00 
10.00 a 13.00 
18.30 a 21.30 
9.30 a 12.30 
9.30 a 12,30 
18.30 a 21.30 
14.00 a 17.00 
10.00 a 13.00 
18.30 a 21.30 
9.30 a 12.30 
9.30 a 12.30 


Carrera WEB Design Completa 


WEB1 + WEB2 + WEB3 
EXAMEN - WEB Design 


Examen Dreamweaver MX 2004 Designer 


Exámenes Flash MX 2004 Designer 
y Developer 


Exámenes Dreamweaver MX 2004 Designer 
y Developer 


% Cursos: 3 (tre: 


Carrera WEB Design Expert 


CURSO - WEB Design 


Módulo WEB1: Curso de Front Page XP y 
Macromedia Dreamweaver MX 04 (Duración 18 hs) 


Módulo WEB2: Curso de Macromedia Flash MX 04 
y Macromedia Fireworks MX 04 (Duración 21 hs) 


Módulo WEB3: Curso de Edición HTML e 
Introd. a Programación ASP (Duración 21 hs) 


WEB1 + WEB2 + WEB3 + WEB4 + WEBS5 // Track Recomendado // 


EXAMEN - WEB Design 


Examen Dreamweaver MX 2004 Developer 


CURSO - WEB Developer 
Módulo WEB4: Curso Programación ASP 
Avanzado (Duración 21 hs) 


Módulo WEB5: Curso Programación PHP 
Avanzado (Duración 21 hs) 


Para más información sobre la 
carrera WEB Design Completa y 
WEB Design Expert visitá 


Fechas Inicio Calendario 
Carrera COR Security + Especializaciones 


18.30 a 21.30 
14.00 a 17.00 


CISSP: Certified 


Information Systems 
Security Professional 


Especialización LINUX 


Módulo LX5: Seguridad y contra-seguridad en 


Redes (Duración 12hs) 


+ 


Workshop LX6: Workshops Servidor de 
Firewall y Squid (Comparación con ISA Server) 


(Duración 12 hs) 
+ 


Workshop LX8: Workshops Implementando 


VPNs bajo Linux (Duración 12 hs) 


Incluye Material 
% Cursos: 5 (cinco) 
Duración Total: 76 hs 


www.cortech.com.ariweb/web1.htm 


CURSO - Securi 


Clínica SEC1: Seguridad y sus fundamentos 
(Duración 20 hs) 


Clínica SEC2: Seguridad Avanzada 
(Duración 20 hs) 


Especialización Microsoft 


Curso 2159: Deploying and Managing Microsoft 
Internet Security and Acceleration Server 2000 
(Duración 24 hs) 

+ 

Curso 40 hs Seguridad Electivo de la Currícula 
Oficial Microsoft 

+ 

Curso 2823: Implementing and Administering 
Security in a Microsoft Windows Server 2003 
Network (Duración 40 hs) 


INICIO DIAS 
17-08-04 M-J 
27-08-04 L-M-V 
26-08-04 M-J 
17-09-04 L-M-V 
23-09-04 M-J 
22-09-04 L-M-V 
19-10-04 M-J 
26-10-04 M-J 
27-10-04 L-M-V 
16-11-04 M-J 
24-11-04 L-M-V 
29-11-04 L-M-V 
18-01-05 M-J 
28-01-05 L-M-Y 
02-02-05 L-M-V 
22-02-05 M-J 
25-02-05 L-M-V 
04-03-05 L-M-V 
29-03-05 M-J 
23-03-05 L-M-V 
24-03-05 M-J 
14-04-05 M-J 
28-04-05 M-J 
27-04-05 L-M-Y 
17-05-05 M-J 
24-05-05 M-J 
01-06-05 L-M-V 
21-06-05 M-J 
29-06-05 L-M-V 
01-07-05 L-M-V 
19-07-05 M-J 
27-07-05 L-M-V 
29-07-05 L-M-V 


HORARIO 
9.00 a 13.00 
18.30 a 22.30 
18.30 a 22.30 
9.00 a 13.00 
9.00 a 13,00 
18.30 a 22.30 
18.30 a 22.30 
9.00 a 13.00 
18.30 a 22.30 
9.00 a 13.00 
18.30 a 22.30 
9.00 a 13.00 
18.30 a 22.30 
18.30 a 22.30 
9.00 a 13.00 
9.00 a 13.00 
9.00 a 13.00 
18.30 a 22.30 
9.00 a 13.00 
18.30 a 22.30 
18.30 a 22.30 
18,30 a 22.30 
9.00 a 13,00 
9.00 a 13.00 
18.30 a 22.30 
9.00 a 13.00 
18.30 a 22.30 
9.00 a 13.00 
18.30 a 22.30 
9.00 a 13.00 
18.30 a 22.30 
18.30 a 22.30 
9.00 a 13.00 


Para más información sobre la carrera COR Security y sus Especializaciones visitá www.secure105.com.ar 


Certificaciones Macromedia 


¿Dónde se pueden rendir los exámenes para certificarme como 
Macromedia Dreamweaver MX 2004 Designer, Developer y Flash 
MX 2004 Designer, Developer? 


Podés hacer los exámenes en cualquier centro de tu localidad que provea 
exámenes VUE: Virtual Universities Enterprise (ver www.vue.com). 
Deberás entonces reservar tu turno de examen y abonar el costo 
correspondiente de 150.00 U$S para cada Examen MX 2004. 


Más información respecto de las Certificaciones Macromedia MX 2004 
podrás encontrarla en www.macromedia.com 


Cursos Intensivos y Personalizados 


¿Cómo puedo hacer para que yo o la gente de mi Empresa pueda 
cursar cualquiera de los Cursos y Carreras Microsoft, Security, 
WEB Design o Linux de manera Personalizada / Intensiva? 


Te recomendamos averiguar por costos y metodologías de cursada de 
todos nuestros Cursos y Carreras para realizarlos de forma intensiva y 
personalizada ya sea en las Oficinas de COR TECH o in Company 
(Capital o Interior del Pais). 

Enviando solamente un email a intensivefWcortech.com.ar o llamando 
al (54)11-4312-7694. 


"COR |rechnotogies| — yywyw.cortech.com.ar 
a Lira] 
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Carrera Linux Completa 
LX1 + LX2 + LX3 


EXAMEN - LPIC Nivel 1 peration 


Módulo LX1: Curso Operador Linux 
(Duración 15 hs) 


CURSO - Administration 


Módulo LX2: Curso Administrador Linux 
(Duración 15 hs) 


CURSO - Networking 


Módulo LX3: Curso Redes Linux 
(Duración 15 hs) 


Duración Total: 45 hs 


Carrera Linux Avanzada 
LX1 + LX2 + LX3 + LX4 + LX5 


EXAMEN - LPIC Nivel 2 CURSO - Networking 


Módulo LX4: Curso Redes Linux Avanzado 
(Duración 15 hs) 


CURSO -Securina 


Módulo LX5: Curso Seguridad y Contra-Seguridad 
Linux (Duración 15 hs) 


Duración Total: 69 hs 


Carrera Linux Expert // Track Recomendado // 
LX1 + LX2 + LX3 + LX4 + LX5 + 2 Workshops LX (a elección) 


EXAMEN - LPIC Nivel 1 y Nivel 2 Workshops 


LPIC-1: Workshops para Exámenes LP1-101 
y LPI-102 (Duración 12 hs) 


- Certificación 


LPIC-2: Workshops para Exámenes LP1-201 
y LPI-202 (Duración 12 hs) 


Workshop 


LX6: Workshops Servidor de Firewall y Squid 
(Comparación con ISA Server) (Duración 12 hs) 


EXAMEN - LPIC Nivel 3 


LX7: Workshops Clustering bajo Linux 
(Beowulf/ Open Mosix / Condor) (Duración 12 hs) 


LX8: Workshops implementando VPNs bajo Linux 
(FreeSwan) (Duración 12 hs) 


LX9: Workshops Apache WEB Server 
(Duración 12 hs) 


debian 


INICIO DIAS 
11-08-04 L-M-V 
14-08-04 S 
17-08-04 M-J 
03-09-04 L-M-V 
09-09-04 M-J 
14-09-04 M-J 
06-10-04 L-M-V 
09-10-04 S 
14-10-04 M-J 
05-11-04 L-M-V 
11-11-04 M-J 
12-11-04 L-M-V 
05-01-05 L-M-V 
08-01-05 S 
13-01-05 M-J 
04-02-05 L-M-V 
10-02-05 M-J 
15-02-05 M-J 
04-03-05 L-M-V 
12-03-05 S 
17-03-05 M-J 
06-04-05 L-M-V 
14-04-05 M-J 
08-04-05 L-M-V 
04-05-05 L-M-V 
07-05-05 S 
12-05-05 M-J 
08-06-05 L-M-V 
09-06-05 M-J 
14-06-05 M-J 
01-07-05 L-M-V 
14-07-05 M-J 
16-07-05 S 


Fechas Inicio Calendario 
Carrera Linux Compiete, Advanced y Expert 


HORARIO 
9.30 a 12.30 
10.00 a 13.00 
18.30 a 21.30 
18.30 a 21.30 
9.30 a 12.30 
14,00 a 17.00 
9.30 a 12.30 
10.00 a 13.00 
18.30 a 21,30 
18.30 a 21.30 
9.30 a 12.30 
14.00 a 17.00 
9.30 a 12.30 
10.00 a 13.00 
18.30 a 21.30 
18.30 a 21.30 
9.30 a 12.30 
14.00 a 17.00 
9.30 a 12.30 
10.00 a 13.00 
18.30 a 21.30 
18.30 a 21.30 
9.30 a 12.30 
14,00 a 17.00 
9.30 a 12.30 
10.00 a 13.00 
18.30 a 21.30 
9.30 a 12.30 
18.30 a 21.30 
14.00 a 17.00 
18.30 a 21.30 
9.30 a 12.30 
10.00 a 13.00 


Para más información sobre la carrera Linux Completa, Avanzada y Expert visitá www.cortech,com.ar/lxc/lxc1.htm 


Costos de las Carreras y Cursos 


¿Dónde se puede averiguar el costo de los Cursos y Carreras 
Microsoft, Security, WEB Design y/o Linux? 


Podés averiguar los costos de los Cursos y Carreras acercándote 
personalmente a COR Technologies SRL: Av. Córdoba 657 Piso 12, 
telefónicamente llamando al (54)11-4312-7694, vía correo electrónico 
a masinfo'AMWcortech.com.ar, o en http://www.cortech.com.ar 


http://www.cortech.com.ar/gen/Cursos y Fechas COR.pdf 


¡COR 
nt 


www.cortech.com.ar 


Certificaciones LPI 


¿Dónde se pueden rendir los exámenes para certificarme en LPIC 
101, 102, 201 ó 202? 


Podés hacer los exámenes en cualquier centro de tu localidad que provea 
exámenes VUE: Virtual Universities Enterprise (ver www.vue.com) 


Deberás entonces reservar tu turno de examen y abonar el costo 
correspondiente de 150.00 U$S para cada Examen. 


Más información respecto de las Certificaciones LPI podrás encontrarla en 
www.Ipi.org 


SUPLEMENTO GUÍA CURSOS Y CARRERAS 
- | AGOSTO 2004 A 31 JuLio 2005 


Revista de Networking 
y Programación 


Comprá un NEX en el Kiosco 
más cercano de tu barrio. 


Precio de Tapa: República Argentina 7 $ (recargo 
interior del País 0.20 $5) 


Suscripción a NEX 12 ediciones 
para toda la Argentina. 


Por sólo 70 $ anuales llevás 2 ediciones Gratis y lo 
recibís en tu Domicilio. Incluye también Acceso 
web al sitio de contenidos exclusivo de NEX. 


Suscripción a NEX formato 
virtual. 


Por sólo 30 U$S anuales obtendrás Acceso web al 
sitio de contenidos exclusivo de NEX; y podrás 
bajar todas las versiones PDF de la revista. 


MÁS INFO ENCONTRÁS 
EN WWW.NEXWEB.COM.AR 
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